Большинство версий Matter 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 не поддерживают проверку разрешений upload_file для конкретной команды, что позволяет гостевому пользователю публиковать файлы в каналах, где у него нет разрешения upload_file, путем загрузки файлов в команду, где у них есть разрешение, и повторного использования метаданных файла в запросе POST другой команде. Идентификатор Mattermost Advisory: MMSA-2025-00553
Показать оригинальное описание (EN)
Mattermost versions 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 fail to validate team-specific upload_file permissions which allows a guest user to post files in channels where they lack upload_file permission via uploading files in a team where they have permission and reusing the file metadata in a POST request to a different team. Mattermost Advisory ID: MMSA-2025-00553
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 3
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Mattermost Mattermost_Server
cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*
|
10.11.0
|
10.11.11
|
|
Mattermost Mattermost_Server
cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*
|
11.2.0
|
11.2.3
|
|
Mattermost Mattermost_Server
cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*
|
11.3.0
|
11.3.1
|