Hassan Mohammed

**Nome do Software Vulnerável e Versões Afetadas** Mattermost versões 11.6.0 até 11.6.1 Mattermost versões 11.5.0 até 11.5.4 Mattermost versões 10.11.0 até 10.11.16 **Description** A sanitização insuficiente da variável `FileInfo.Name` recebida de pares federados durante a sincronização de arquivos de canais compartilhados permite que um invasor que controle um servidor federado realize um ataque de path traversal. Isso possibilita que o invasor escreva arquivos em locais arbitrários dentro do filestore do servidor alvo por meio de sequências de path traversal no campo de nome do arquivo. **Recommendations** Atualize as versões 11.6.0 até 11.6.1 para uma versão mais recente. Atualize as versões 11.5.0 até 11.5.4 para uma versão mais recente. Atualize as versões 10.11.0 até 10.11.16 para uma versão mais recente.

**Nome do Software Vulnerável e Versões Afetadas** Mattermost Plugins versões anteriores a 1.1.6 **Descrição** A sanitização insuficiente de nomes de arquivos recebidos de pares federados ao construir caminhos de destino de exportação permite que um administrador remoto de um servidor federado realize um ataque de path traversal. Ao enviar um nome de arquivo malicioso através do protocolo de sincronização de anexos de canais compartilhados, um invasor pode gravar arquivos em locais arbitrários dentro do filestore do servidor alvo. **Recomendações** Atualize para uma versão posterior a 1.1.5.

Name of the Vulnerable Software and Affected Versions Mattermost Plugin Legal Hold versões 1.1.4 e anteriores Description O software Mattermost Plugin Legal Hold, versões 1.1.4 e anteriores, não interrompe corretamente o processamento da solicitação após uma falha de autorização dentro da função `ServeHTTP`. Isso permite que um invasor autenticado acesse, crie, baixe e exclua dados de retenção legal enviando solicitações de API criadas para os endpoints do plugin. A vulnerabilidade decorre da falha em interromper o processamento após uma verificação de autorização falhar. Recommendations Atualize o Mattermost Plugin Legal Hold para uma versão posterior a 1.1.4.