Vulnerabilidades

Las versiones de Mattermost 11.8.x <= 11.8.2, 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 no restringen la asignación de roles a miembros del canal a roles con ámbito de canal, lo que permite a un administrador del canal obtener permisos adicionales en el canal a través de la API de roles de miembros del canal.. Mattermost…

Las versiones de Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 no validan que los usuarios tengan acceso de lectura a un canal antes de vincularle un tablero, lo que permite a un atacante autenticado descubrir los miembros de canales privados del mismo equipo creando, modificando, importando o…

Las versiones de Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 no aplican la validación del estado de ejecución en las operaciones de escritura sobre ejecuciones de playbooks finalizadas, lo que permite a un participante de la ejecución modificar el estado, las listas de comprobación, el contenido de la…

Las versiones de Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 Mattermost no restringían los endpoints de desautorización de OAuth y de gestión de tokens de acceso personal a las sesiones directas del usuario, lo que permitía a una app OAuth con un token de usuario delegado revocar las autorizaciones o los tokens…

Las versiones de Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 no impiden que los usuarios invitados reciban privilegios de Board Admin durante la importación de archivos de tableros, lo que permite a un miembro del tablero escalar a un usuario invitado a Board Admin importando un archivo .boardarchive manipulado.…

Versiones de Mattermost 11.7.x <= 11.7.6, 11.8.x <= 11.8.3: el endpoint de desasignación de políticas de control de acceso no vuelve a validar que cada canal de destino siga perteneciendo al equipo del administrador solicitante, lo que permite a un administrador de equipo autenticado eliminar asignaciones de políticas…

Las versiones de Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 no concilian los indicadores SchemeAdmin con el rol actual del usuario, lo que permite a un usuario degradado a System Guest conservar privilegios de Board Admin y realizar operaciones exclusivas de administrador a través de la API…

Las versiones de Mattermost 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 no limitan el tamaño del contenido descomprimido ni aplican el tamaño máximo de archivo configurado en el manejador de importación de archivos de Boards, lo que permite a un usuario autenticado provocar el agotamiento…

Las versiones de Mattermost 11.8.x <= 11.8.0, 11.7.x <= 11.7.3, 11.6.x <= 11.6.5, 10.11.x <= 10.11.20 no verifican la ruta de eliminación de archivos, lo que permite a un administrador con permisos de escritura en la consola del sistema de SAML eliminar archivos arbitrarios del servidor fuera del directorio de…

Las versiones de Mattermost 11.6.x <= 11.6.5, 10.11.x <= 10.11.20, 11.8.x <= 11.8.1, 11.7.x <= 11.7.4 no limitan el número de fotogramas ni aplican el límite de tamaño de archivo en las subidas de GIF animados, lo que permite a un atacante autenticado provocar una denegación de servicio mediante un GIF animado…

Las versiones de Mattermost 11.8.x <= 11.8.0, 11.7.x <= 11.7.3, 11.6.x <= 11.6.5, 10.11.x <= 10.11.20 no acotan el tiempo ni el consumo de recursos de la extracción de contenido de documentos del lado del servidor, lo que permite a un usuario autenticado con permiso de subida de archivos degradar las subidas de…

Las versiones de Mattermost Desktop App <=6.2 6.0.2 5.6.13.0 no validan las cargas útiles enviadas desde Mattermost Web App a Desktop App, lo que permite a un propietario de servidor malicioso bloquear Mattermost Desktop App cambiando la carga útil de un método por una malformada. Mattermost Advisory ID:…

Las versiones de Mattermost Desktop App <=6.2 5.5.13 6.0.2.0 no realizan correctamente la comprobación de nulos al comprobar las cabeceras en Mattermost Desktop App, lo que permite a cualquier usuario bloquear la Desktop App de otros miembros del canal publicando un enlace malicioso con una imagen incrustada a la que…

Mattermost versiones 11.7.x <= 11.7.2, 11.6.x <= 11.6.4 y 10.11.x <= 10.11.19 no comprueban el permiso manage_shared_channels en el manejador de autocompletado de /share-channel, lo que permite a un usuario autenticado sin ese permiso enumerar los metadatos de conexión de clústeres remotos configurados mediante el…

Mattermost versiones 11.7.x <= 11.7.2 y 10.11.x <= 10.11.19 no sanean los objetos de equipo devueltos por el endpoint de equipos del esquema, lo que permite a un usuario con el rol User Manager obtener enlaces de invitación de equipos privados y usarlos para unirse a esos equipos o compartir el acceso a ellos mediante…

Mattermost versiones 11.7.x <= 11.7.1, 11.6.x <= 11.6.4 y 10.11.x <= 10.11.19 no restringen los cambios de configuración de métricas al playbook que se está guardando, lo que permite a un usuario autenticado con acceso al equipo alterar los ajustes de métricas del playbook de otro usuario mediante una solicitud de…

Las versiones de Mattermost 11.7.x <= 11.7.2, 11.6.x <= 11.6.4, 10.11.x <= 10.11.19 no validan que el usuario asignado a un webhook entrante tenga acceso al equipo o canal de destino, lo que permite a un solicitante con permisos de gestión de webhooks crear publicaciones o mensajes directos atribuidos a otro usuario…

Las versiones de Mattermost 11.7.x <= 11.7.2, 11.6.x <= 11.6.4 no verifican si una cuenta de invitado está desactivada antes de crear una sesión en la ruta de inicio de sesión mediante token de enlace mágico, lo que permite a un usuario invitado desactivado obtener una sesión plenamente funcional mediante un token de…

Las versiones de Mattermost 11.7.x <= 11.7.2, 11.6.x <= 11.6.4, 10.11.x <= 10.11.19 no invalidan los tokens de actualización de OAuth al desactivar la cuenta de usuario, lo que permite a un usuario desactivado o a un atacante en posesión de un token de actualización válido obtener nuevos tokens de acceso funcionales…

Las versiones de Mattermost 11.7.x <= 11.7.2, 11.6.x <= 11.6.4, 10.11.x <= 10.11.19 no validan la longitud ni el contenido de los valores de los campos de los adjuntos de mensajes, lo que permite a un atacante autenticado provocar una denegación de servicio para todos los usuarios de un canal mediante una publicación…

Las versiones de Mattermost 11.7.x <= 11.7.2, 11.6.x <= 11.6.4, 10.11.x <= 10.11.19 no verifican que el canal referenciado en una cookie de acción coincida con el canal de la publicación de destino, lo que permite a un usuario autenticado sin acceso a un canal privado desencadenar acciones interactivas sobre…

Las versiones de Mattermost 11.7.x <= 11.7.2, 11.6.x <= 11.6.4, 10.11.x <= 10.11.19 no verifican la propiedad de las publicaciones en el gestor de sincronización entrante de canales compartidos, lo que permite a un clúster remoto autenticado modificar o eliminar publicaciones creadas por usuarios locales u otros…

Las versiones de Mattermost 11.7.x <= 11.7.2, 11.6.x <= 11.6.4, 10.11.x <= 10.11.19 no restringen el indicador de canal group_constrained a los canales públicos y privados que admiten sincronización de grupos, lo que permite a un miembro ordinario de un mensaje de grupo o directo eliminar a todos los participantes de…

Las versiones de los complementos de Mattermost <=11.6 10.18.11 11.3.6 11.6.5.0 no sanean las respuestas de error de la API de OpenAI antes de registrarlas, lo que permite que un usuario con acceso a los registros del servidor o a los paquetes de soporte obtenga una clave de API de OpenAI válida o parcialmente…

Las versiones de Mattermost 10.11.x <= 10.11.18, 11.6.x <= 11.6.3, 11.5.x <= 11.5.6 no validan las URL de los adjuntos frente a intervalos de IP internos o privados en el servidor MCP del complemento Mattermost Agents, lo que permite a un atacante con acceso al servidor MCP en modo stdio realizar una falsificación de…