[TLP:CLEAR] Mattermost opravuje 5 zranitelností, z toho 3 kritické

Mattermost verzemi 10.5.0, 10.4.2, 10.3.3, 10.2.3 a 9.11.8 opravuje 5 zranitelností, z toho 3 kritické. Níže jsou uvedeny nejzávažnější z nich, zbylé naleznete na [1].

Mattermost - arbitrary file read (CVE-2025-25279)
CVSS 9.1 (Critical)

Autentizovanému vzdálenému útočníkovi je pomocí importu a exportu speciálně vytvořeného archivu v Boards umožněno číst jakýkoliv libovolný soubor v souborovém systému [2].

Zranitelnost se nachází v produktu:

  • *:Mattermost;>=9.11,<=9.11.7;>=10.2,<=10.2.2;>=10.3,<=10.3.2;>=10.4,<=10.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Více informací:

  • CVE-2025-25279 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 2. 2025.

Mattermost - arbitrary file read (CVE-2025-20051)
CVSS 9.1 (Critical)

Autentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci vstupu pomocí duplikace speciálně vytvořeného bloku v Boards umožněno číst jakýkoliv libovolný soubor v souborovém systému [3].

Zranitelnost se nachází v produktu:

  • *:Mattermost;>=9.11,<=9.11.7;>=10.2,<=10.2.2;>=10.3,<=10.3.2;>=10.4,<=10.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Více informací:

  • CVE-2025-20051 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 2. 2025.

Mattermost - SQL injection (CVE-2025-24490)
CVSS 9.6 (Critical)

Autentizovanému vzdálenému útočníkovi je kvůli selhání aplikace při použití připravených dotazů při přeuspořádání nástěnek (boards) umožněno vykonat útok SQL injection a neoprávněně přistupovat k datům z databáze [4].

Zranitelnost se nachází v produktu:

  • *:Mattermost;>=9.11,<=9.11.7;>=10.2,<=10.2.2;>=10.3,<=10.3.2;>=10.4,<=10.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Více informací:

  • CVE-2025-24490 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 24. 2. 2025.

Mattermost - improper access (CVE-2025-24526)
CVSS 4.3 (Medium)

Autentizovanému vzdálenému útočníkovi je kvůli chybě v implementaci i přes zakázanou volbu "Allow users to view archived channels" umožněno neoprávněně exportovat obsah archivovaných kanálů [5].

Zranitelnost se nachází v produktu:

  • *:Mattermost;>=9.11,<=9.11.7;>=10.1,<=10.1.3;>=10.2,<=10.2.2;>=10.3,<=10.3.2;>=10.4,<=10.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 24. 2. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dne 3. 3. 2025.

CESNET, z.s.p.o. Logo