Vulnerabilidades

Mattermost Mobile no limita la cantidad máxima de elementos Markdown en una publicación, lo que permite a un atacante enviar una publicación con cientos de emojis a un canal y congelar la aplicación móvil de los usuarios cuando ven ese canal en particular.

Mattermost Desktop no puede establecer un nivel de registro apropiado durante la ejecución inicial después de una nueva instalación, lo que provoca que se registren todas las pulsaciones de teclas, incluida la entrada de contraseña.

Mattermost no logra desdoblar los ID de entrada, lo que permite que un simple usuario haga que la aplicación consuma recursos excesivos y posiblemente falle al enviar una solicitud especialmente manipulada a /api/v4/users/ids con múltiples ID idénticos.

Mattermost no verifica adecuadamente el creador de un archivo adjunto al agregar el fichero a un borrador de publicación, lo que potencialmente expone información del archivo no autorizada.

Mattermost no aplica un límite para el tamaño de la entrada de caché para los datos de OpenGraph, lo que permite a un atacante enviar una solicitud especialmente manipulada al /api/v4/opengraph, llenando el caché y haciendo que el servidor no esté disponible.

Se encontró una vulnerabilidad en el complemento Most Popular Posts Widget hasta la versión 0.8 en WordPress. Ha sido clasificada como crítica. La función add_views/show_views del archivo functions.php es afectada por la vulnerabilidad. La manipulación conduce a la inyección de SQL. Es posible lanzar el ataque de…

Mattermost no marca la opción "Show Full Name" en el endpoint /api/v4/teams/TEAM_ID/top/team_members, lo que permite a un miembro obtener el nombre completo de otro usuario incluso si la opción "Show Full Name" está deshabilitada.

Mattermost no aplica límites de caracteres en todos los posibles accesorios de notificación, lo que permite a un atacante enviar un valor muy largo para un notification_prop, lo que hace que el servidor consuma una cantidad anormal de recursos informáticos y posiblemente deje de estar disponible temporalmente para sus…

Mattermost no valida correctamente los permisos al eliminar temporalmente un equipo, lo que permite a un miembro del equipo eliminar temporalmente otros equipos de los que no forma parte.

Mattermost no valida correctamente los permisos al degradar y desactivar a un usuario, lo que permite que un administrador de sistema/usuario degrade/desactive a otro administrador

Mattermost no verifica correctamente los permisos al recuperar una publicación, lo que permite un rol del sistema con permiso para administrar canales para leer las publicaciones de una conversación de DM.

Mattermost no verifica adecuadamente los permisos al administrar/actualizar un bot, permitiendo una función de administrador de usuarios con permisos de edición de usuario para administrar/actualizar bots.

Mattermost no restringe los valores de los parámetros que toma de la solicitud durante el registro, lo que permite a un atacante registrar a los usuarios como inactivos, bloqueándoles así el acceso posterior a Mattermost sin que el administrador del sistema active sus cuentas.

Mattermost no sanea los metadatos de las entradas durante el registro de auditoría, lo que provoca que se registre el contenido de los enlaces permanentes.

Mattermost no valida correctamente los permisos de usuario solicitados al actualizar un administrador del sistema, lo que permite a un administrador de usuarios actualizar los datos de un administrador del sistema, como el correo electrónico, el nombre y los apellidos.

Mattermost no comprueba si el usuario solicitante es un invitado antes de realizar diferentes acciones en los libros de reproducción públicos, por lo que un invitado puede ver, unirse, editar, exportar y archivar libros de reproducción públicos.

Mattermost no elimina los archivos adjuntos al borrar un mensaje en un hilo, lo que permite que un simple usuario pueda seguir accediendo y descargando el archivo adjunto de un mensaje eliminado.

La aplicación de iOS de Mattermost no valida correctamente el certificado del servidor durante la inicialización de la conexión TLS, lo que permite a un atacante de red interceptar la conexión de WebSockets.

Mattermost no valida correctamente un archivo de imagen GIF, lo que permite a un atacante consumir una cantidad significativa de recursos del servidor, dejándolo sin respuesta durante un periodo prolongado de tiempo mediante un enlace a un archivo de imagen especialmente diseñado.

El plugin WelcomeBot de Mattermost no valida correctamente la condición de miembro al invitar o añadir usuarios a canales, lo que permite que, de forma predeterminada, se añadan o inviten cuentas de invitado a canales.

Mattermost no valida correctamente el markdown, lo que permite a un atacante bloquear el servidor mediante una entrada de markdown especialmente diseñada.

Mattermost no invalida los tokens de restablecimiento de contraseña generados previamente cuando se crea un nuevo token de restablecimiento.

Mattermost no elimina los adjuntos de las tarjetas en Boards, lo que permite a un atacante acceder a los adjuntos eliminados.

Mattermost no muestra correctamente la información en la interfaz de usuario, lo que permite a un administrador del sistema modificar el estado de un tablero y permitir que cualquier usuario con un enlace de uso compartido válido se una al tablero con acceso de editor, sin que la interfaz muestre los permisos…

Mattermost no logra deshabilitar los tableros públicos tras desactivarse la opción de configuración "Enable Publicly-Shared Boards", lo que provoca que los tableros previamente compartidos de forma pública sigan siendo accesibles.