PT-2025-16221 · Mattermost · Mattermost

Bob10X1 · Publicado 2025-04-14 · Atualizado 2025-04-23 · CVE-2025-32093

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Mattermost 10.5.x até 10.5.1 Versões do Mattermost 10.4.x até 10.4.3 Versões do Mattermost 9.11.x até 9.11.9

Descrição: O problema surge devido à falha em restringir determinadas operações sobre administradores do sistema exclusivamente a outros administradores do sistema. Isso permite que usuários com administração granular delegada que possuem a permissão Edit Other Users realizem modificações não autorizadas em administradores do sistema através de uma validação de permissões inadequada.

Recomendações: Para as versões do Mattermost 10.5.x até 10.5.1, atualize para uma versão que restrinja adequadamente as operações em administradores do sistema. Para as versões do Mattermost 10.4.x até 10.4.3, atualize para uma versão que restrinja adequadamente as operações em administradores do sistema. Para as versões do Mattermost 9.11.x até 9.11.9, atualize para uma versão que restrinja adequadamente as operações em administradores do sistema. Como medida temporária, considere restringir a permissão Edit Other Users para prevenir modificações não autorizadas em administradores do sistema.

Correção

LPE

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2025-32093

GHSA-322V-VH2G-QVPV

GO-2025-3609

OPENSUSE-SU-2025:15017-1

Produtos afetados

Mattermost

Referências · 38

• https://github.com/mattermost/mattermost · Nota
• https://github.com/mattermost/mattermost/commit/aa4623a9319943d9f54383b22b55e7d06a324e20 · Nota
• https://twitter.com/CVEnew/status/1911679825019892095 · Publicação no Twitter
• https://pkg.go.dev/vuln/GO-2025-3609 · Nota
• https://suse.com/security/cve/CVE-2025-3801 · Nota
• https://suse.com/security/cve/CVE-2025-1386 · Nota
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-32093 · Nota
• https://t.me/cvetracker/21504 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2025-3609 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-30206 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-32093 · Nota de Segurança
• https://suse.com/security/cve/CVE-2025-43973 · Nota
• https://suse.com/security/cve/CVE-2025-24866 · Nota
• https://suse.com/security/cve/CVE-2025-32431 · Nota
• https://suse.com/security/cve/CVE-2025-24839 · Nota