CVE-2026-93847 Validación incorrecta del tipo de post en endpoints de posts programados de Mattermost
Mattermost no valida los tipos de post reservados del sistema en las rutas de creación y publicación de posts programados, lo que permite a un miembro autenticado de un canal publicar mensajes que se muestran como eventos de sistema confiables mediante el endpoint de posts programados. Afecta a las versiones 11.7.x hasta 11.7.10.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 6
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Mattermost
desde 11.7.0 hasta 11.7.10
Qué hacer
- Verificá si usás Mattermost y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.5 BAJA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
Mattermost versions 11.7.x <= 11.7.10 fail to validate reserved system post types on the scheduled post creation and publication paths which allows an authenticated channel member to publish messages rendering as trusted system events via the scheduled post endpoint.. Mattermost Advisory ID: MMSA-2026-00732
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.