Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Mattermost opravuje 5 zraniteľností, z toho 3 kritické

Mattermost verziami 10.5.0, 10.4.2, 10.3.3, 10.2.3 a 9.11.8 opravuje 5 zraniteľností, z toho 3 kritické. Nižšie sú uvedené najzávažnejšie z nich, zvyšné nájdete na [1].

Mattermost - arbitrary file read (CVE-2025-25279)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi je pomocou importu a exportu špeciálne vytvoreného archívu v Boards umožnené čítať akýkoľvek ľubovoľný súbor v súborovom systéme [2].

Zraniteľnosť sa nachádza v produkte:

  • *:Mattermost;>=9.11,<=9.11.7;>=10.2,<=10.2.2;>=10.3,<=10.3.2;>=10.4,<=10.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Viac informácií:

  • CVE-2025-25279 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 24. 2. 2025.

Mattermost - arbitrary file read (CVE-2025-20051)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi je vďaka nedostatočnej validácii vstupu pomocou duplikácie špeciálne vytvoreného bloku v Boards umožnené čítať akýkoľvek ľubovoľný súbor v súborovom systéme [3].

Zraniteľnosť sa nachádza v produkte:

  • *:Mattermost;>=9.11,<=9.11.7;>=10.2,<=10.2.2;>=10.3,<=10.3.2;>=10.4,<=10.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Viac informácií:

  • CVE-2025-20051 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 24. 2. 2025.

Mattermost - SQL injection (CVE-2025-24490)
CVSS 9.6 (Critical)

Autentizovanému vzdialenému útočníkovi je vďaka zlyhaniu aplikácie pri použití pripravených dotazov pri preusporiadaní nástenok (boards) umožnené vykonať útok SQL injection a neoprávnene pristupovať k údajom z databázy [4].

Zraniteľnosť sa nachádza v produkte:

  • *:Mattermost;>=9.11,<=9.11.7;>=10.2,<=10.2.2;>=10.3,<=10.3.2;>=10.4,<=10.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-24490 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 24. 2. 2025.

Mattermost - improper access (CVE-2025-24526)
CVSS 4.3 (Medium)

Autentizovanému vzdialenému útočníkovi je vďaka chybe v implementácii aj pri zakázanej voľbe "Allow users to view archived channels" umožnené neoprávnene exportovať obsah archivovaných kanálov [5].

Zraniteľnosť sa nachádza v produkte:

  • *:Mattermost;>=9.11,<=9.11.7;>=10.1,<=10.1.3;>=10.2,<=10.2.2;>=10.3,<=10.3.2;>=10.4,<=10.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 24. 2. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 3. 3. 2025.

CESNET, z.s.p.o. Logo