PT-2025-34197 · Mattermost · Mattermost

Hackit_Bharat · Publicado 2025-08-21 · Atualizado 2025-08-29 · CVE-2025-53971

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.8

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Mattermost 10.5.x até 10.5.8 Versões do Mattermost 9.11.x até 9.11.17

Descrição: O Mattermost falha ao validar corretamente a autorização para modificações de funções do esquema da equipe. Isso permite que Administradores da Equipe rebaixem Membros da Equipe para Convidados através do endpoint da API PUT /api/v4/teams/team-id/members/user-id/schemeRoles. O parâmetro vulnerável é user-id.

Recomendações: Versões do Mattermost 10.5.x até 10.5.8: Aplicar verificações de autorização adequadas ao endpoint da API /api/v4/teams/team-id/members/user-id/schemeRoles para prevenir modificações de funções não autorizadas. Versões do Mattermost 9.11.x até 9.11.17: Aplicar verificações de autorização adequadas ao endpoint da API /api/v4/teams/team-id/members/user-id/schemeRoles para prevenir modificações de funções não autorizadas.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2025-53971

GHSA-4276-CM8C-788H

GO-2025-3902

Produtos afetados

Mattermost

Referências · 11

• https://github.com/mattermost/mattermost · Nota
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-53971 · Nota
• https://twitter.com/CVEnew/status/1958444193396769198 · Publicação no Twitter
• https://mattermost.com/security-updates · Nota
• https://osv.dev/vulnerability/GO-2025-3902 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4276-cm8c-788h · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-53971 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-53971 · Nota de Segurança
• https://t.me/CVEtracker/30571 · Publicação no Telegram
• https://github.com/advisories/GHSA-4276-cm8c-788h · Nota
• https://pkg.go.dev/vuln/GO-2025-3902 · Nota