Mattermost group syncable endpoints allow privilege escalation via scheme_admin
Mattermost versions 11.6.x <= 11.6.1, 11.5.x <= 11.5.4, 10.11.x <= 10.11.15, 10.11.x <= 10.11.16 Mattermost fails to require role-management authorization when setting the scheme_admin flag on group syncable link and patch endpoints, which allows a user with group-link permissions to escalate themselves and group members to team or channel admin via crafted API requests.. Mattermost Advisory ID: MMSA-2026-00665
- Yayın
- 12 Haz 2026
- Güncelleme
- 18 Haz 2026
- EPSS
- %0,4 · 34. yüzdelik
- CWE
- CWE-863
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
35
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 35 / 40 · 8.8 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 0 / 30 · %0,4
CISA SSVC kararı
- Sömürü
- yok
- Otomatikleştirilebilir
- hayır
- Teknik etki
- tam
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- —
- CNA · Mattermost
- 8,8
- NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| mattermost | mattermost server | cpe:2.3:a:mattermost:mattermost_server |
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- mattermost mattermost server10.11.0 ve sonrası · 10.11.17 öncesi
- mattermost mattermost server11.5.0 ve sonrası · 11.5.5 öncesi
- mattermost mattermost server11.6.0 ve sonrası · 11.6.2 öncesi
Üreticinin bildirdiği sürümler
Kaydı açan otorite (Mattermost) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Mattermost Mattermost
- 11.7.0, 11.6.2, 11.5.5, 10.11.16, 10.11.17etkilenmez
- 11.6.0 ve sonrası · 11.6.1 dahil öncesietkilenir · semver
- 11.5.0 ve sonrası · 11.5.4 dahil öncesietkilenir · semver
- 10.11.0 ve sonrası · 10.11.15 dahil öncesietkilenir · semver
- 10.11.0 ve sonrası · 10.11.16 dahil öncesietkilenir · semver
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Go | github.com/mattermost/mattermost-server | 10.11.0 itibarıyla · 10.11.17 öncesi | 10.11.17 |
| Go | github.com/mattermost/mattermost-server | 10.11.0+incompatible itibarıyla · 10.11.17+incompatible öncesi | 10.11.17+incompatible |
| Go | github.com/mattermost/mattermost-server | 11.5.0 itibarıyla · 11.5.5 öncesi | 11.5.5 |
| Go | github.com/mattermost/mattermost-server | 11.5.0+incompatible itibarıyla · 11.5.5+incompatible öncesi | 11.5.5+incompatible |
| Go | github.com/mattermost/mattermost-server | 11.6.0 itibarıyla · 11.6.1 öncesi | 11.6.1 |
| Go | github.com/mattermost/mattermost-server | 11.6.0+incompatible itibarıyla · 11.6.1+incompatible öncesi | 11.6.1+incompatible |
| Go | github.com/mattermost/mattermost-server/v5 | tüm sürümler | — |
| Go | github.com/mattermost/mattermost-server/v6 | tüm sürümler | — |
| Go | github.com/mattermost/mattermost/server/v8 | 8.0.0-20250731163400-5b955468ea1e itibarıyla · 8.0.0-20260506065351-202d125afa87 öncesi | 8.0.0-20260506065351-202d125afa87 |
Aynı üründe
mattermost: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2026-4858Path traversal in integration action URL leading to arbitrary API execution via system admin’s auth token.39İzleyin
- CVE-2025-12421Account Takeover via Code Exchange Endpoint39İzleyin
- CVE-2025-12419Account takeover on OAuth/OpenID-enabled servers39İzleyin
- CVE-2025-4981Path Traversal Leading to RCE by Any Authenticated Mattermost User39İzleyin
- CVE-2023-6458Client side path traversal due to lack of route parameters validation39İzleyin
- CVE-2017-18920An issue was discovered in Mattermost Server before 3.6.2.39İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| Go:github.com/mattermost/mattermost-server | 10.11.17 | Paket deposu (OSV) |
| Go:github.com/mattermost/mattermost-server | 10.11.17+incompatible | Paket deposu (OSV) |
| Go:github.com/mattermost/mattermost-server | 11.5.5 | Paket deposu (OSV) |
| Go:github.com/mattermost/mattermost-server | 11.5.5+incompatible | Paket deposu (OSV) |
| Go:github.com/mattermost/mattermost-server | 11.6.1 | Paket deposu (OSV) |
| Go:github.com/mattermost/mattermost-server | 11.6.1+incompatible | Paket deposu (OSV) |
| Go:github.com/mattermost/mattermost/server/v8 | 8.0.0-20260506065351-202d125afa87 | Paket deposu (OSV) |
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
- winfuncbulan
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
- CVE-2025-25274448 gün araylaUnauthorized Command Execution in Archived Channels35İzleyin
- CVE-2026-981666 gün araylaInsufficient server-side validation of board member role fields permits privilege escalation33İzleyin
- CVE-2026-67390 gün araylaMattermost: Delegated admins could patch protected default system roles28İzleyin
- CVE-2026-1010631 gün araylaUnauthorized users can trigger interactive post actions in private channels via action cookie channel mismatch in Mattermost26İzleyin
- CVE-2026-985966 gün araylaMattermost Boards plugin didn’t enforce role-based authorization on board channel link allowing board editors to expose boards to arbitrary channels26İzleyin
- CVE-2026-246288 gün araylaAdmin RCE via Malicious Plugin Upload on CI Test Instances26İzleyin
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Ürünün üreticisi herkese açık bir programda görünüyor. Eşleşme ad üzerinden yapıldı; kapsam metnini programda doğrulayın.
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Düşük yetkili bir hesap yeterli.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yüksek · veriler okunabilir
- Bütünlük
- yüksek · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Düşük
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yüksek
- Bütünlük etkisi
- Yüksek
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-863 · Incorrect AuthorizationCVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
nvd-secondary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
385 binden fazla zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyinDeğişiklik günlüğü
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.