CVE-2025-12421
Açıklama
Mattermost 11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12 sürümleri, kod değişimi sırasında kullanılan token'ın aynı kimlik doğrulama akışından geldiğini doğrulayamaz; bu durum, kimliği doğrulanmış bir kullanıcının kimlik doğrulama yöntemlerini değiştirirken özel olarak hazırlanmış bir e-posta adresi kullanması ve /users/login/sso/code-exchange uç noktasına istek göndermesi yoluyla hesap ele geçirme gerçekleştirmesine olanak tanır. Bu güvenlik açığı, ExperimentalEnableAuthenticationTransfer seçeneğinin etkin (varsayılan: etkin) ve RequireEmailVerification seçeneğinin devre dışı (varsayılan: devre dışı) olmasını gerektirir.
Nasıl düzeltilir
- mattermost mattermost_server10.5.13, 10.11.5, 10.12.2, 11.0.3 ya da sonraki bir sürüm
- github.com/mattermost/mattermost/server/v88.0.0-20251022210333-acda1fb5dd46 ya da sonraki bir sürüm
- github.com/mattermost/mattermost-server11.0.3, 10.12.2, 10.11.5, 10.5.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mattermost mattermost_server | 10.5.0 ≤ v < 10.5.13, 10.11.0 ≤ v < 10.11.5, 10.12.0 ≤ v < 10.12.2, 11.0.0 ≤ v < 11.0.3 | 10.5.13, 10.11.5, 10.12.2, 11.0.3 |
| github.com/mattermost/mattermost/server/v8Go | v < 8.0.0-20251022210333-acda1fb5dd46 | 8.0.0-20251022210333-acda1fb5dd46 |
| github.com/mattermost/mattermost-serverGo | 11.0.0 ≤ v < 11.0.3, 10.12.0 ≤ v < 10.12.2, 10.11.0 ≤ v < 10.11.5, 10.5.0 ≤ v < 10.5.13, Aralık belirtilmemiş | 11.0.3, 10.12.2, 10.11.5, 10.5.13 |
| github.com/mattermost/mattermost-server/v5Go | Aralık belirtilmemiş | — |
| github.com/mattermost/mattermost-server/v6Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.