Eva Sarafianou

**Name of the Vulnerable Software and Affected Versions** Mattermost versões 10.11.0 até 10.11.12 Mattermost versão 11.5.0 Mattermost versões 11.4.0 até 11.4.2 Mattermost versões 11.3.0 até 11.3.2 **Description** Um endpoint de autenticação falha ao validar tokens CSRF. Isso permite que um invasor atualize o método de autenticação de um usuário ao enganá-lo para visitar uma página maliciosa por meio de um ataque de Cross-Site Request Forgery (CSRF), que é uma técnica onde um comando não autorizado é transmitido a uma aplicação web a partir de um usuário em que a aplicação confia. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Mattermost 9.11.x até 9.11.7 Versões do Mattermost 10.1.x até 10.1.3 Versões do Mattermost 10.2.x até 10.2.2 Versões do Mattermost 10.3.x até 10.3.2 Versões do Mattermost 10.4.x até 10.4.1 **Descrição** O problema permite que um usuário exporte o conteúdo do canal quando não deveria ter acesso a ele, devido a uma falha ao restringir a exportação de canais arquivados quando a configuração "Permitir que usuários visualizem canais arquivados" está desativada. **Recomendações** Para as versões 9.11.x até 9.11.7, atualize para uma versão superior à 9.11.7 para resolver o problema. Para as versões 10.1.x até 10.1.3, atualize para uma versão superior à 10.1.3 para resolver o problema. Para as versões 10.2.x até 10.2.2, atualize para uma versão superior à 10.2.2 para resolver o problema. Para as versões 10.3.x até 10.3.2, atualize para uma versão superior à 10.3.2 para resolver o problema. Para as versões 10.4.x até 10.4.1, atualize para uma versão superior à 10.4.1 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Mattermost anteriores à v8.1.9 **Descrição** O Mattermost não verifica a permissão `invite guest` ao convidar convidados de outras equipes para uma equipe, permitindo que um membro com permissões para adicionar outros membros, mas não para adicionar convidados, adicione um convidado a uma equipe, desde que o convidado já fosse convidado em outra equipe do servidor. **Recomendações** Para versões anteriores à v8.1.9, atualize para a versão v8.1.9 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso da permissão `invite guest` para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** Mattermost (affected versions not specified) **Description** The issue arises from Mattermost's failure to check if hardened mode is enabled when overriding the username and/or the icon when posting. If settings allow integrations to override the username and profile picture, a member can also override these elements when making a post, even with Hardened Mode enabled. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Mattermost (affected versions not specified) **Description** The issue allows a guest user to perform various actions on public playbooks, including viewing, joining, editing, exporting, and archiving, due to a lack of proper user checks. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Mattermost (affected versions not specified) **Description** The issue allows a user with permissions to edit other users and to create personal access tokens to elevate their privileges to system admin. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.