PT-2025-38620 · Mattermost · Mattermost

Daw10 · Publicado 2025-09-19 · Atualizado 2025-10-27 · CVE-2025-9081

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Mattermost 10.5.x até 10.5.8 Versões do Mattermost 9.11.x até 9.11.17

Descrição O Mattermost falha ao validar corretamente os controles de acesso, permitindo que qualquer usuário autenticado baixe arquivos sensíveis. Isso é possível através do endpoint de download de arquivos do board utilizando enumeração de UUID.

Recomendações Atualize as versões do Mattermost anteriores à 10.5.9. Atualize as versões do Mattermost anteriores à 9.11.18.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-9081

GHSA-F72G-52V7-MG3P

GO-2025-3978

OPENSUSE-SU-2025:15576-1

SUSE-SU-2025:3799-1

Produtos afetados

Mattermost

Referências · 49

• https://github.com/mattermost/mattermost-plugin-boards · Nota
• https://github.com/mattermost/mattermost-plugin-boards/pull/114 · Nota
• https://github.com/mattermost/mattermost-plugin-boards/commit/3f3e3becfe1d66db0d0f4fd235f04afd6e1ec40b · Nota
• https://osv.dev/vulnerability/GHSA-f72g-52v7-mg3p · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-59346 · Nota
• https://suse.com/security/cve/CVE-2024-58267 · Nota
• https://twitter.com/CVEnew/status/1969291927766835328 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-59348 · Nota
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-47910 · Nota
• https://osv.dev/vulnerability/SUSE-SU-2025:3799-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-23267 · Nota
• https://suse.com/security/cve/CVE-2025-61595 · Nota
• https://suse.com/security/cve/CVE-2025-10630 · Nota
• https://suse.com/security/cve/CVE-2025-59354 · Nota