PT-2025-42442 · Mattermost · Mattermost

Lordwillmore · Publicado 2025-10-16 · Atualizado 2025-11-07 · CVE-2025-10545

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Mattermost 10.5.x até 10.5.10 Versões do Mattermost 10.11.x até 10.11.2

Descrição O software não verifica corretamente as permissões para usuários convidados ao adicionar membros aos canais. Isso permite que usuários convidados adicionem qualquer membro da equipe aos seus canais privados. O problema ocorre através do endpoint da API /api/v4/channels/{channel id}/members. O parâmetro vulnerável é channel id.

Recomendações Atualize o Mattermost para uma versão posterior a 10.5.10. Atualize o Mattermost para uma versão posterior a 10.11.2.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2025-10545

GHSA-424H-XJ87-M937

GO-2025-4030

OPENSUSE-SU-2025:15710-1

Produtos afetados

Mattermost

Referências · 86

• https://github.com/mattermost/mattermost · Nota
• https://github.com/mattermost/mattermost/commit/fb9c583f5e466a566a5122154ef337bbf2238902 · Nota
• https://github.com/mattermost/mattermost/pull/33827 · Nota
• https://github.com/mattermost/mattermost/pull/31319 · Nota
• https://github.com/mattermost/mattermost/commit/ff30b84049f0193f0570d30e46cffc3602298c67 · Nota
• https://suse.com/security/cve/CVE-2025-58356 · Nota
• https://suse.com/security/cve/CVE-2025-61141 · Nota
• https://suse.com/security/cve/CVE-2025-64102 · Nota
• https://suse.com/security/cve/CVE-2025-62375 · Nota
• https://suse.com/security/cve/CVE-2016-11074 · Nota
• https://suse.com/security/cve/CVE-2025-58075 · Nota
• https://suse.com/security/cve/CVE-2016-11072 · Nota
• https://suse.com/security/cve/CVE-2016-11082 · Nota
• https://suse.com/security/cve/CVE-2025-59530 · Nota
• https://suse.com/security/cve/CVE-2025-64101 · Nota