CVE-2025-12419
Təsvir
Mattermost versiyaları 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12, 11.0.x <= 11.0.3 OpenID Connect autentifikasiyası zamanı OAuth vəziyyət tokenlərini düzgün şəkildə yoxlamır. Bu, komanda yaratmaq imtiyazlarına malik olan autentifikasiya olunmuş hücumçunun OAuth tamamlanma axını zamanı autentifikasiya məlumatlarını manipulyasiya edərək istifadəçi hesabını ələ keçirməsinə şərait yaradır. Bunun üçün e-poçt təsdiqləmənin söndürülmüş olması (defolt olaraq: söndürülüb), OAuth/OpenID Connect-in aktiv olması və hücumçunun SSO sistemində iki istifadəçini idarə etməsi tələb olunur ki, onlardan biri Mattermost-a heç vaxt daxil olmamış olsun.
Necə düzəltmək olar
- mattermost mattermost_server10.5.13, 10.11.5, 10.12.2, 11.0.4 və ya daha yeni versiya
- github.com/mattermost/mattermost/server/v88.0.0-20251028000919-d3ed703dc833 və ya daha yeni versiya
- github.com/mattermost/mattermost-server10.12.2, 10.11.5, 10.5.13, 11.0.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mattermost mattermost_server | 10.5.0 ≤ v < 10.5.13, 10.11.0 ≤ v < 10.11.5, 10.12.0 ≤ v < 10.12.2, 11.0.0 ≤ v < 11.0.4 | 10.5.13, 10.11.5, 10.12.2, 11.0.4 |
| github.com/mattermost/mattermost/server/v8Go | v < 8.0.0-20251028000919-d3ed703dc833 | 8.0.0-20251028000919-d3ed703dc833 |
| github.com/mattermost/mattermost-serverGo | 10.12.0 ≤ v < 10.12.2, 10.11.0 ≤ v < 10.11.5, 10.5.0 ≤ v < 10.5.13, 11.0.0 ≤ v < 11.0.4, Aralıq göstərilməyib | 10.12.2, 10.11.5, 10.5.13, 11.0.4 |
| github.com/mattermost/mattermost-server/v5Go | Aralıq göstərilməyib | — |
| github.com/mattermost/mattermost-server/v6Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.