CVE-2026-93851 Recorrido de directorios en el recordatorio de menciones del plugin Agents de Mattermost permite reemplazar…
El componente de recordatorio de menciones del plugin Agents no valida el ID del post objetivo, por lo que un usuario autenticado que puede publicar en un canal visible para un administrador puede hacer que el navegador de este envíe una petición API no intencionada y reemplace un plugin instalado, con ejecución de código en el servidor. Afecta a Mattermost 11.9.x hasta 11.9.1, 11.8.x hasta 11.8.5 y 11.7.x hasta 11.7.10.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 18
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Mattermost
desde 11.9.0 hasta 11.9.1desde 11.8.0 hasta 11.8.5desde 11.7.0 hasta 11.7.10
Qué hacer
- Verificá si usás Mattermost y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.0 ALTA
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
Mattermost versions 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 fail to validate the target post ID in the Agents plugin's mention reminder component, which allows an authenticated user who can post in a channel visible to a system administrator to cause the administrator's browser to send an unintended API request, resulting in replacement of an installed plugin and code execution on the server, via a crafted post containing a forged mention reminder that the administrator clicks. Mattermost Advisory ID: MMSA-2026-00742
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.