CVE-2024-29221

Orta

Açıklama

Mattermost Server versiyonları 9.5.2 öncesindeki 9.5.x, 9.4.4 öncesindeki 9.4.x, 9.3.3 öncesindeki 9.3.x ve 8.1.11 öncesindeki 8.1.x sürümlerinde, `/api/v4/users/me/teams` uç noktasında uygun erişim kontrolünün bulunmaması nedeniyle bir ekip yöneticisinin kendi ekibinin davet kimliğini (invite ID) almasına olanak tanıyan Hatalı Erişim Kontrolü tespit edilmiştir; bu durum, "Üye Ekle" izni ekip yöneticilerinden açıkça kaldırılmış olsa bile kullanıcıları davet etmelerine izin vermektedir.

ÖnemOrta

CVSS4.7

İstismar olasılığı—

Ürün

Mattermost Server

Yayın5 Nis 2024

İlk görülme5 Nis 2024

Zayıflık türüCWE-284Hatalı erişim denetimi

Nasıl düzeltilir

Güncelleyin

mattermost mattermost_server8.1.11, 9.3.3, 9.4.4, 9.5.2 ya da sonraki bir sürüm
github.com/mattermost/mattermost/server/v88.1.11, 9.5.2, 9.4.4, 9.3.3 ya da sonraki bir sürüm
github.com/mattermost/mattermost-server9.3.3+incompatible, 9.4.4+incompatible, 9.5.2+incompatible ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
mattermost mattermost_server	8.1.0 ≤ v < 8.1.11, 9.3.0 ≤ v < 9.3.3, 9.4.0 ≤ v < 9.4.4, 9.5.0 ≤ v < 9.5.2	8.1.11, 9.3.3, 9.4.4, 9.5.2
github.com/mattermost/mattermost/server/v8Go	8.1.0 ≤ v < 8.1.11, 9.5.0 ≤ v < 9.5.2, 9.4.0 ≤ v < 9.4.4, 9.3.0 ≤ v < 9.3.3, Aralık belirtilmemiş	8.1.11, 9.5.2, 9.4.4, 9.3.3
github.com/mattermost/mattermost-serverGo	9.3.0+incompatible ≤ v < 9.3.3+incompatible, 9.4.0+incompatible ≤ v < 9.4.4+incompatible, 9.5.0+incompatible ≤ v < 9.5.2+incompatible	9.3.3+incompatible, 9.4.4+incompatible, 9.5.2+incompatible
github.com/mattermost/mattermost-server/v5Go	Aralık belirtilmemiş	—
github.com/mattermost/mattermost-server/v6Go	Aralık belirtilmemiş	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.