PT-2025-48281 · Mattermost · Mattermost

Daw10 · CVE-2025-12421 · Publicado 2025-10-28 · Atualizado 2026-03-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Mattermost 10.5.x até 10.5.12 Versões do Mattermost 10.11.x até 10.11.4 Versões do Mattermost 10.12.x até 10.12.1 Versões do Mattermost 11.0.x até 11.0.2

Descrição O Mattermost falha ao verificar se o token usado durante a troca de código origina-se do mesmo fluxo de autenticação. Isso permite que um usuário autenticado realize a tomada de conta utilizando um endereço de e-mail especialmente elaborado ao alternar métodos de autenticação e enviar uma solicitação para o endpoint /users/login/sso/code-exchange. O problema requer que ExperimentalEnableAuthenticationTransfer esteja habilitado e RequireEmailVerification esteja desabilitado.

Recomendações Versões do Mattermost 10.5.x até 10.5.12: Atualize para uma versão mais recente e corrigida. Versões do Mattermost 10.11.x até 10.11.4: Atualize para uma versão mais recente e corrigida. Versões do Mattermost 10.12.x até 10.12.1: Atualize para uma versão mais recente e corrigida. Versões do Mattermost 11.0.x até 11.0.2: Atualize para uma versão mais recente e corrigida.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-303

Identificadores relacionados

BDU:2025-15264

CVE-2025-12421

GHSA-MP6X-97XJ-9X62

GO-2025-4170

SUSE-SU-2026:0037-1

Produtos afetados

Mattermost

Referências · 103

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/12xxx/CVE-2025-12421.json · Exploit
• https://github.com/mattermost/mattermost/commit/5072bbf689a46b3b97b2373f26149f5891396e6b · Nota
• https://github.com/mattermost/mattermost/commit/f361e7d75a7ab9df5a2106e1ceb919b94b55e41d · Nota
• https://github.com/mattermost/mattermost/commit/feb598ed2b7ac3cb78a253b032ad7e4628b0de00 · Nota
• https://github.com/mattermost/mattermost/commit/acda1fb5dd46a2f46c76ae67012423c760525eaa · Nota
• https://bdu.fstec.ru/vul/2025-15264 · Nota de Segurança
• https://twitter.com/CVEnew/status/1994109615324463525 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-64715 · Nota
• https://suse.com/security/cve/CVE-2025-68938 · Nota
• https://suse.com/security/cve/CVE-2017-18888 · Nota
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-60633 · Nota
• https://twitter.com/gothburz/status/1994179991035093010 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-11393 · Nota
• https://suse.com/security/cve/CVE-2025-68940 · Nota