Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 16 OCT · 06:02

CVE-2026-19867 Agotamiento de CPU en Mattermost por claves de mención sin límite en las propiedades de notificación

Mattermost versiones 11.10.x = 11.10.0, 11.9.x = 11.9.1, 11.8.x = 11.8.5 y 11.7.x = 11.7.10 no limitan la cantidad ni el tamaño de las claves de mención almacenadas en las propiedades de notificación del usuario, ni acotan la coincidencia cuadrática de palabras clave multibyte por publicación. Un usuario autenticado puede degradar la latencia de posprocesamiento y consumir CPU excesiva para otros miembros de los canales que comparte almacenando una lista notify_props.mention_keys sobredimensionada en su perfil.

4.3MEDIA

CVSS 3.1

  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • Mattermost

    desde 11.10.0 hasta 11.10.0desde 11.9.0 hasta 11.9.1desde 11.8.0 hasta 11.8.5desde 11.7.0 hasta 11.7.10

Qué hacer

  1. Verificá si usás Mattermost y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadNinguna
  • DisponibilidadBaja

Descripción original

Mattermost versions 11.10.x <= 11.10.0, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 fail to cap the number and size of mention keys stored in a user's notification properties, and to bound the quadratic multibyte-keyword matching performed for each post, which allows an authenticated user to degrade post-processing latency and consume excessive CPU on behalf of other members of any channel they share via storing an oversized notify_props.mention_keys list on their own profile.. Mattermost Advisory ID: MMSA-2026-00773

Referencias (1)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.