Incoming webhook user attribution via unvalidated webhook owner

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• mattermost mattermost server10.11.0 и новее · до 10.11.20
• mattermost mattermost server11.6.0 и новее · до 11.6.5
• mattermost mattermost server11.7.0 и новее · до 11.7.3

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Mattermost). Не зависят от анализа CPE в NVD и обычно опережают его.

• Mattermost Mattermost

  • 11.8.0, 11.7.3, 11.6.5, 10.11.20не затронута
  • 11.7.0 и новее · до 11.7.2 включительнозатронута · semver
  • 11.6.0 и новее · до 11.6.4 включительнозатронута · semver
  • 10.11.0 и новее · до 10.11.19 включительнозатронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-4858Path traversal in integration action URL leading to arbitrary API execution via system admin’s auth token.
  39Наблюдать
• CVE-2025-12421Account Takeover via Code Exchange Endpoint
  39Наблюдать
• CVE-2025-12419Account takeover on OAuth/OpenID-enabled servers
  39Наблюдать
• CVE-2025-4981Path Traversal Leading to RCE by Any Authenticated Mattermost User
  39Наблюдать
• CVE-2023-6458Client side path traversal due to lack of route parameters validation
  39Наблюдать
• CVE-2017-18920An issue was discovered in Mattermost Server before 3.6.2.
  39Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.