Mattermost ne valide pas les tokens CSRF sur un endpoint d'authentification

Un attaquant peut exploiter cette vulnérabilité CSRF en créant une page web malveillante qui, lorsqu'elle est visitée par un utilisateur Mattermost authentifié, envoie une requête non autorisée pour modifier la méthode d'authentification de l'utilisateur. Cela pourrait permettre à l'attaquant de prendre le contrôle du compte de l'utilisateur, d'accéder à des données sensibles ou de compromettre davantage le système. L'impact est amplifié si l'utilisateur affecté possède des privilèges d'administrateur, ce qui pourrait permettre à l'attaquant de contrôler l'ensemble de l'instance Mattermost. Cette vulnérabilité est similaire à d'autres failles CSRF où la validation des tokens est insuffisante.

Organizations utilizing Mattermost for team communication, particularly those with legacy deployments running vulnerable versions (10.11.0–11.5.1). Shared hosting environments where multiple users share a Mattermost instance are also at increased risk, as a compromised user could potentially affect other users on the same server.

• linux / server:

journalctl -u mattermost -f | grep -i "csrf"

• generic web:

curl -I https://<mattermost_url>/auth/change_method | grep -i "csrf-token"

• wordpress / composer / npm: (Not applicable, as Mattermost is not a WordPress plugin or Node.js package) • database (mysql, redis, mongodb, postgresql): (Not applicable, as the vulnerability does not directly involve database interaction) • windows / supply-chain: (Not applicable, as Mattermost is not a Windows application)

1. 2026-04-15Disclosure

   disclosure

1. Réservé2026-03-10
2. Publiée2026-04-15
3. EPSS mis à jour2026-04-22

La mitigation principale consiste à mettre à jour Mattermost vers la version 11.5.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de mettre en œuvre des mesures de sécurité temporaires. Bien qu'il n'y ait pas de contournement direct, l'implémentation d'une politique de sécurité du navigateur plus stricte, limitant les sites web autorisés à effectuer des actions au nom de l'utilisateur, peut réduire le risque. Il est également conseillé de sensibiliser les utilisateurs aux risques des liens suspects et des pages web non fiables. Après la mise à jour, vérifiez que les tokens CSRF sont correctement validés en effectuant des tests de sécurité.