DoS via Amplified GraphQL Response in Playbooks
Mattermost versions 9.10.x <= 9.10.2, 9.11.x <= 9.11.1 and 9.5.x <= 9.5.9 fail to prevent detailed error messages from being displayed in Playbooks which allows an attacker to generate a large response and cause an amplified GraphQL response which in turn could cause the application to crash by sending a specially crafted request to Playbooks.
- Yayın
- 29 Eki 2024
- Güncelleme
- 17 Haz 2026
- EPSS
- %0,5 · 37. yüzdelik
- CWE
- CWE-770
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
30
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 30 / 40 · 7.5 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 0 / 30 · %0,5
CISA SSVC kararı
- Sömürü
- yok
- Otomatikleştirilebilir
- hayır
- Teknik etki
- kısmi
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- 7,5
- CNA · Mattermost
- 4,3
- 3,2 puan fark
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| mattermost | mattermost server | cpe:2.3:a:mattermost:mattermost_server |
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- mattermost mattermost server9.5.0 ve sonrası · 9.5.10 öncesi
- mattermost mattermost server9.10.0 ve sonrası · 9.10.3 öncesi
- mattermost mattermost server9.11.0 ve sonrası · 9.11.2 öncesi
Üreticinin bildirdiği sürümler
Kaydı açan otorite (Mattermost) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Mattermost Mattermost
- 10.0.0, 9.10.3, 9.11.2, 9.5.10etkilenmez
- 9.10.0 ve sonrası · 9.10.2 dahil öncesietkilenir · semver
- 9.11.0 ve sonrası · 9.11.1 dahil öncesietkilenir · semver
- 9.5.0 ve sonrası · 9.5.9 dahil öncesietkilenir · semver
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Go | github.com/mattermost/mattermost-server | tüm sürümler | — |
| Go | github.com/mattermost/mattermost-server/v5 | tüm sürümler | — |
| Go | github.com/mattermost/mattermost-server/v6 | tüm sürümler | — |
| Go | github.com/mattermost/mattermost/server/v8 | 8.0.0-20240926115259-20ed58906adc öncesi | 8.0.0-20240926115259-20ed58906adc |
| openSUSE:Tumbleweed | govulncheck-vulndb | 0.0.20241104T154416-1.1 öncesi | 0.0.20241104T154416-1.1 |
| SUSE:Linux Enterprise Module for Package Hub 15 SP5 | govulncheck-vulndb | 0.0.20241104T154416-150000.1.12.1 öncesi | 0.0.20241104T154416-150000.1.12.1 |
| SUSE:Linux Enterprise Module for Package Hub 15 SP5 | govulncheck-vulndb | 0.0.20241104T154416-150000.1.12.1 öncesi | 0.0.20241104T154416-150000.1.12.1 |
Aynı üründe
mattermost: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2026-4858Path traversal in integration action URL leading to arbitrary API execution via system admin’s auth token.39İzleyin
- CVE-2025-12421Account Takeover via Code Exchange Endpoint39İzleyin
- CVE-2025-12419Account takeover on OAuth/OpenID-enabled servers39İzleyin
- CVE-2025-4981Path Traversal Leading to RCE by Any Authenticated Mattermost User39İzleyin
- CVE-2023-6458Client side path traversal due to lack of route parameters validation39İzleyin
- CVE-2017-18920An issue was discovered in Mattermost Server before 3.6.2.39İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| Go:github.com/mattermost/mattermost/server/v8 | 8.0.0-20240926115259-20ed58906adc | Paket deposu (OSV) |
| opensuse:govulncheck-vulndb | 0.0.20241104T154416-150000.1.12.1 · openSUSE:Leap 15.5 | Paket deposu (OSV) |
| suse:govulncheck-vulndb | 0.0.20241104T154416-150000.1.12.1 · SUSE:Linux Enterprise Module for Package Hub 15 SP5 | Paket deposu (OSV) |
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
- DoyenSecbulan
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
- CVE-2025-35965177 gün araylaDoS in Mattermost Playbooks via Excessive Task Actions30İzleyin
- CVE-2026-24458503 gün araylaDoS attack via login attempts with multi-megabyte passwords30İzleyin
- CVE-2025-14435444 gün araylaApplication-Level DoS via infinite re-render loop in user profile handling26İzleyin
- CVE-2026-21388527 gün araylaUnbounded Request Body Read in MS Teams Plugin {{/lifecycle}} Webhook Endpoint26İzleyin
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Ürünün üreticisi herkese açık bir programda görünüyor. Eşleşme ad üzerinden yapıldı; kapsam metnini programda doğrulayın.
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yok
- Bütünlük
- yok
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yok
- Bütünlük etkisi
- Yok
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-770 · Allocation of Resources Without Limits or ThrottlingCVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
- FloodingCAPEC-125olasılık: High · Medium
- Excessive AllocationCAPEC-130olasılık: Medium · Medium
- XML Ping of the DeathCAPEC-147olasılık: Low · Medium
- Exponential Data ExpansionCAPEC-197olasılık: High · Medium
- Serialized Data Parameter BlowupCAPEC-229olasılık: High · High
- Serialized Data with Nested PayloadsCAPEC-230olasılık: Medium · High
- Oversized Serialized Data PayloadsCAPEC-231olasılık: Medium · High
- HTTP DoSCAPEC-469Low
ATT&CK teknikleri
- Network Denial of Service:Direct Network FloodT1498.001
- Network Denial of Service:Reflection AmplificationT1498.002
- Endpoint Denial of ServiceT1499
- Endpoint Denial of Service: OS Exhaustion FloodT1499.001
- Endpoint Denial of Service:Service Exhaustion FloodT1499.002
- Endpoint Denial of Service:Application Exhaustion FloodT1499.003
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
385 binden fazla zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyinDeğişiklik günlüğü
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.