PT-2025-16564 · Mattermost · Wrangler+1
Juho Forsén
·
Publicado
2025-04-16
·
Atualizado
2025-04-23
·
CVE-2025-24839
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Mattermost 10.5.x até 10.5.1
Versões do Mattermost 10.4.x até 10.4.3
Versões do Mattermost 9.11.x até 9.11.9
Descrição
O problema permite que usuários sem acesso ao bot de IA o ativem anexando a propriedade de substituição
activate ai a uma postagem via o plugin Wrangler, desde que ambos os plugins de IA e Wrangler estejam habilitados. Isso ocorre porque o Mattermost falha em impedir que postagens do Wrangler acionem respostas da IA.Recomendações
Para as versões 10.5.x até 10.5.1, considere desabilitar o plugin Wrangler até que um patch esteja disponível.
Para as versões 10.4.x até 10.4.3, restrinja o acesso ao bot de IA para minimizar o risco de exploração.
Para as versões 9.11.x até 9.11.9, evite usar a propriedade de substituição
activate ai em postagens via o plugin Wrangler até que o problema seja resolvido.Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Mattermost
Wrangler