PT-2025-42437 · Mattermost · Mattermost

Lordwillmore · Publicado 2025-10-16 · Atualizado 2025-11-07 · CVE-2025-41443

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Mattermost 10.5.x até 10.5.10 Versões do Mattermost 10.11.x até 10.11.2

Descrição O software não valida corretamente as permissões de usuário convidado ao acessar informações do canal. Isso permite que usuários convidados descubram canais públicos ativos e seus metadados. O endpoint da API afetado é /api/v4/teams/{team id}/channels/ids. O team id é um parâmetro vulnerável.

Recomendações Atualize o Mattermost para uma versão posterior à 10.5.10. Atualize o Mattermost para uma versão posterior à 10.11.2.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-41443

GHSA-7CR3-38JM-6P45

GO-2025-4031

OPENSUSE-SU-2025:15710-1

Produtos afetados

Mattermost

Referências · 83

• https://github.com/mattermost/mattermost · Nota
• https://github.com/mattermost/mattermost/commit/e8c7e7d0252bbf1e098aae4a5ea05d945afd7e70 · Nota
• https://github.com/mattermost/mattermost/pull/33778 · Nota
• https://github.com/mattermost/mattermost/pull/31327 · Nota
• https://suse.com/security/cve/CVE-2025-58356 · Nota
• https://suse.com/security/cve/CVE-2025-61141 · Nota
• https://suse.com/security/cve/CVE-2025-64102 · Nota
• https://suse.com/security/cve/CVE-2025-62375 · Nota
• https://suse.com/security/cve/CVE-2016-11074 · Nota
• https://suse.com/security/cve/CVE-2025-58075 · Nota
• https://suse.com/security/cve/CVE-2016-11072 · Nota
• https://suse.com/security/cve/CVE-2016-11082 · Nota
• https://suse.com/security/cve/CVE-2025-59530 · Nota
• https://osv.dev/vulnerability/GO-2025-4031 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-64101 · Nota