PT-2026-41649 · Mattermost · Mattermost

Mr_Anksec · Publicado 2026-05-18 · Atualizado 2026-05-18 · CVE-2026-28732

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Mattermost versões anteriores a 11.5.2 Mattermost versões anteriores a 10.11.14 Mattermost versões anteriores a 11.4.4

Description Existe um problema onde o sistema falha ao impor a unicidade da palavra-gatilho durante a atualização de comandos de barra (slash commands). Isso permite que um membro da equipe autenticado com a permissão Manage Own Slash Commands sequestre e personifique comandos de barra existentes do sistema ou personalizados. Isso é feito editando o gatilho de seu próprio comando de barra para corresponder a um gatilho já registrado por meio da API de atualização de comandos.

Recommendations Atualize para a versão 11.5.2 ou posterior. Atualize para a versão 10.11.14 ou posterior. Atualize para a versão 11.4.4 ou posterior.

Correção

DoS

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-28732

GHSA-WVCV-9XPM-7MQC

Produtos afetados

Mattermost

Referências · 9

• https://github.com/mattermost/mattermost/commit/f5fe8ded6b633db7804ae25b42ea12ce635d6ea6 · Nota
• https://github.com/mattermost/mattermost · Nota
• https://osv.dev/vulnerability/GHSA-wvcv-9xpm-7mqc · Aviso do Fabricante
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-28732 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-28732 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2056348470571573444 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2056411081841791069 · Publicação no Twitter
• https://t.me/CVEtracker/54110 · Publicação no Telegram