PT-2024-29657 · Mattermost · Mattermost

Bharat · Publicado 2024-04-26 · Atualizado 2024-06-05 · CVE-2024-4195

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.7

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Mattermost 8.1.x a 8.1.11

Versões do Mattermost 9.5.x a 9.5.2

Versão 9.6.0 do Mattermost

Descrição

A vulnerabilidade permite que um invasor autenticado como administrador de equipe promova convidados a administradores de equipe por meio de solicitações HTTP maliciosas, devido a uma falha na validação completa das alterações de função.

Recomendações

Para as versões 8.1.x a 8.1.11 do Mattermost, atualize para a versão 8.1.12 ou posterior.

Para as versões 9.5.x a 9.5.2 do Mattermost, atualize para a versão 9.5.3 ou posterior.

Para a versão 9.6.0 do Mattermost, considere restringir a funcionalidade de alteração de função até que um patch esteja disponível.

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2024-4195

GHSA-5FH7-7MW7-MMX5

GO-2024-2793

Produtos afetados

Mattermost

Referências · 11

• https://github.com/mattermost/mattermost · Nota
• https://github.com/mattermost/mattermost/commit/f0872dd4e4ba34f061aa6982a71c7c29532aac2e · Nota
• https://github.com/mattermost/mattermost/commit/1e3497e0595bb4f9908c94dd9d4685d48556b7e8 · Nota
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-4195 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5fh7-7mw7-mmx5 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2793 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1783812292489937278 · Publicação no Twitter
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-4195 · Nota
• https://osv.dev/vulnerability/CVE-2024-4195 · Aviso do Fabricante
• https://github.com/advisories/GHSA-5fh7-7mw7-mmx5 · Nota