PT-2026-41642 · Mattermost · Mattermost

0X7Oda7123 · Publicado 2026-05-18 · Atualizado 2026-05-18 · CVE-2026-3637

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Mattermost versões 11.5.0 até 11.5.1 Mattermost versões 10.11.0 até 10.11.13 Mattermost versões 11.4.0 até 11.4.3

Descrição Existe um problema onde o software falha ao verificar a permissão de canal create post durante operações de edição de postagens. Isso permite que um invasor autenticado, que teve seus privilégios de postagem revogados, modifique suas postagens existentes enviando solicitações de API diretas para os endpoints de atualização e patch de postagens.

Recomendações Atualizar as versões 11.5.0 até 11.5.1 para uma versão posterior à 11.5.1. Atualizar as versões 10.11.0 até 10.11.13 para uma versão posterior à 10.11.13. Atualizar as versões 11.4.0 até 11.4.3 para uma versão posterior à 11.4.3.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-3637

GHSA-V549-XX3C-6PC8

Produtos afetados

Mattermost

Referências · 7

• https://github.com/mattermost/mattermost/commit/090408f09f53ffc9afc6c65c7c7c1fd3a8cd22f3 · Nota
• https://github.com/mattermost/mattermost · Nota
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-3637 · Nota
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-v549-xx3c-6pc8 · Aviso do Fabricante
• https://t.me/CVEtracker/54103 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-3637 · Nota de Segurança