Vulnérabilité SSRF de Mattermost Server via le plugin Agents dans github.com/mattermost/mattermost-server

Un attaquant exploitant cette vulnérabilité SSRF pourrait potentiellement accéder à des ressources internes qui ne sont pas directement accessibles depuis l'extérieur du réseau. Cela pourrait inclure des informations sensibles stockées sur le serveur Mattermost, des métadonnées sur d'autres services internes, ou même permettre l'accès à d'autres systèmes en contournant les contrôles d'accès réseau. L'impact est considéré comme faible en raison de la nécessité d'une interaction utilisateur pour déclencher la requête, mais la surface d'attaque potentielle ne doit pas être sous-estimée, surtout dans des environnements où le serveur Mattermost est exposé à des réseaux non fiables. Bien que le CVSS score soit faible, une exploitation réussie pourrait révéler des informations confidentielles ou servir de tremplin pour d'autres attaques.

Organizations utilizing Mattermost Server with the Agents Plugin enabled are at risk. This includes teams relying on the Agents Plugin for integrations with external services or internal systems. Environments with less stringent network segmentation policies are particularly vulnerable.

• go / server:

ps aux | grep "mattermost" | grep "Agents Plugin"

• generic web:

curl -I https://<mattermost_server>/plugins/agents/  # Check for unexpected responses or headers

1. 2025-08-29Disclosure

   disclosure

1. Réservé2025-07-22
2. Publiée2025-08-29
3. Modifiée2026-03-03
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Mattermost Server vers la version 10.5.10+incompatible ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à restreindre l'accès réseau au serveur Mattermost et à configurer des règles de pare-feu pour bloquer les requêtes sortantes vers des destinations non autorisées. Il est également recommandé de désactiver temporairement le plugin Agents si cela n'est pas essentiel. Après la mise à jour, vérifiez la configuration du plugin Agents pour vous assurer qu'il n'y a pas d'accès non autorisé à des ressources internes.