高 8.0

Mattermostのプラグインに脆弱性、管理者の操作で任意のコードを実行される恐れ

CVE-2026-93851 SecPulse初出 6:41

概要

Mattermostの Agents プラグインのメンション通知機能に脆弱性が見つかりました。認証済みの一般ユーザーが細工した投稿を作り、管理者がそのリンクをクリックすると、プラグインが差し替えられてサーバー上でコードを実行される恐れがあります。影響を受けるのは11.9.0から11.9.1、11.8.0から11.8.5、11.7.0から11.7.10です。修正版への更新を急いでください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Mattermost	Mattermost	11.9.0 〜 11.9.1 11.8.0 〜 11.8.5 11.7.0 〜 11.7.10	— — —

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Mattermost versions 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 fail to validate the target post ID in the Agents plugin's mention reminder component, which allows an authenticated user who can post in a channel visible to a system administrator to cause the administrator's browser to send an unintended API request, resulting in replacement of an installed plugin and code execution on the server, via a crafted post containing a forged mention reminder that the administrator clicks. Mattermost Advisory ID: MMSA-2026-00742

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory