CVE-2025-62190: CSRF en Mattermost Plugin Calls

Un atacante podría explotar esta vulnerabilidad para realizar acciones no autorizadas en la instancia de Mattermost, como modificar la configuración del plugin Calls, iniciar llamadas en nombre de un usuario o acceder a información sensible. El impacto potencial depende de los permisos del usuario afectado y de la configuración de la instancia de Mattermost. La explotación exitosa requiere que el usuario afectado visite una página web maliciosa o abra un enlace manipulado, lo que podría ser distribuido a través de correo electrónico o redes sociales. La severidad de la vulnerabilidad se ve agravada por la posibilidad de que un atacante pueda comprometer cuentas de administrador si el usuario afectado tiene privilegios elevados.

Organizations heavily reliant on the Mattermost Calls Widget for internal or external communication are at increased risk. Specifically, deployments with limited security controls or those lacking robust CSRF protection mechanisms are particularly vulnerable. Teams using older versions of the Calls Widget plugin without regular security updates are also at significant risk.

• go / server: Examine Mattermost plugin logs for unusual call initiation requests or modifications to call settings. Look for requests originating from unexpected sources or with suspicious parameters.

journalctl -u mattermost -f | grep "Calls Widget"

• generic web: Monitor Mattermost instance access logs for requests to the Calls Widget endpoints with unusual HTTP referer headers. A referer header not originating from the Mattermost domain could indicate a CSRF attempt.

curl -I <mattermost_calls_widget_url> | grep Referer

1. 2025-12-30Disclosure

   disclosure

1. Reservado2025-11-17
2. Publicada2025-12-30
3. Modificada2026-03-03
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar el plugin Calls de Mattermost a la versión 1.10.0 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación estricta de las entradas del usuario y la implementación de políticas de seguridad de contenido (CSP) para restringir las fuentes de contenido que pueden ser cargadas por el navegador. Además, se recomienda educar a los usuarios sobre los riesgos de los ataques CSRF y cómo identificar y evitar sitios web maliciosos. Tras la actualización, verifique la integridad del plugin Calls mediante la comprobación de la versión instalada y la revisión de los registros de eventos en busca de actividades sospechosas.