Mattermost no valida correctamente los tokens CSRF

Un atacante puede explotar esta vulnerabilidad para modificar las políticas de control de acceso en Mattermost sin la autorización del administrador. Esto podría permitirles acceder a información confidencial, realizar acciones no autorizadas en nombre del administrador o incluso comprometer la seguridad de toda la instancia de Mattermost. La manipulación de las políticas de acceso podría resultar en la exposición de datos sensibles, la escalada de privilegios y la interrupción del servicio. Aunque no se ha reportado explotación activa, la naturaleza de CSRF hace que esta vulnerabilidad sea relativamente fácil de explotar, especialmente en entornos donde los usuarios tienen acceso a interfaces administrativas.

Organizations heavily reliant on Mattermost for internal communication and collaboration are particularly at risk. Teams with lax access control policies or those that frequently grant administrative privileges to non-technical users are also more vulnerable. Shared hosting environments where multiple Mattermost instances share the same server could also be affected, potentially allowing an attacker to exploit the vulnerability across multiple instances.

• linux / server: Monitor Mattermost access logs for unusual activity related to the /api/v4/accesscontrolpolicies/{policy_id}/activate endpoint. Look for requests originating from unexpected IP addresses or user agents.

journalctl -u mattermost -f | grep '/api/v4/access_control_policies/'

• generic web: Use curl to test the endpoint with a crafted CSRF token. Verify that the server rejects the request if the token is invalid.

curl -X POST -H "Content-Type: application/json" -H "X-CSRF-Token: INVALID_TOKEN" "https://mattermost.example.com/api/v4/access_control_policies/{policy_id}/activate"

• go: Examine Mattermost server code for instances of the vulnerable endpoint and ensure CSRF token validation is properly implemented. Review recent code changes for potential regressions.

1. 2026-03-25Disclosure

   disclosure

2. 2026-03-25Patch

   patch

1. Reservado2026-02-23
2. Publicada2026-03-25
3. Modificada2026-03-31
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2026-27659 es actualizar Mattermost Server a la versión 11.4.1 o superior, que incluye la corrección de esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación adicionales. Estas medidas incluyen la implementación de controles de acceso más estrictos, la capacitación de los usuarios sobre los riesgos de CSRF y la configuración de un Web Application Firewall (WAF) para bloquear solicitudes sospechosas. Además, se pueden implementar reglas de proxy para filtrar solicitudes con patrones CSRF conocidos. Después de la actualización, confirme que la validación de CSRF funciona correctamente revisando los registros de auditoría y realizando pruebas de penetración.