Mattermostのプラグインに脆弱性、管理者の操作で任意のコードを実行される恐れ
Summary
Mattermostの Agents プラグインのメンション通知機能に脆弱性が見つかりました。認証済みの一般ユーザーが細工した投稿を作り、管理者がそのリンクをクリックすると、プラグインが差し替えられてサーバー上でコードを実行される恐れがあります。影響を受けるのは11.9.0から11.9.1、11.8.0から11.8.5、11.7.0から11.7.10です。修正版への更新を急いでください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Mattermostの Agents プラグインのメンション通知機能に脆弱性が見つかりました。認証済みの一般ユーザーが細工した投稿を作り、管理者がそのリンクをクリックすると、プラグインが差し替えられてサーバー上でコードを実行される恐れがあります。影響を受けるのは11.9.0から11.9.1、11.8.0から11.8.5、11.7.0から11.7.10です。修正版への更新を急いでください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Mattermost | Mattermost |
11.9.0 – 11.9.1 11.8.0 – 11.8.5 11.7.0 – 11.7.10 |
— — — |
Original description The description as published by the source.
Mattermost versions 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 fail to validate the target post ID in the Agents plugin's mention reminder component, which allows an authenticated user who can post in a channel visible to a system administrator to cause the administrator's browser to send an unintended API request, resulting in replacement of an installed plugin and code execution on the server, via a crafted post containing a forged mention reminder that the administrator clicks. Mattermost Advisory ID: MMSA-2026-00742
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web mattermost.com
- web nvd.nist.gov
- web github.com