Plateforme
mattermost
Composant
mattermost
Corrigé dans
10.11.13
11.5.1
11.4.3
11.3.3
8.0.0-20250723052842-4cb8d8940332
La vulnérabilité CVE-2026-3590 est une condition de concurrence affectant Mattermost. Elle permet à un attaquant disposant d'un lien magique valide d'établir plusieurs sessions authentifiées indépendantes en envoyant des requêtes simultanées, contournant ainsi les contrôles d'utilisation unique. Cette faille concerne les versions 10.11.x <= 10.11.12, 11.5.x <= 11.5.0, 11.4.x <= 11.4.2 et 11.3.x <= 11.3.2. Une correction est disponible dans la version 11.6.1.
La vulnérabilité CVE-2026-3590 dans Mattermost permet à un attaquant disposant d'un lien magique invité valide d'établir plusieurs sessions authentifiées indépendantes via des requêtes simultanées. Cela est dû au fait que les versions affectées (10.11.x <= 10.11.12, 11.5.x <= 11.5.0, 11.4.x <= 11.4.2, 11.3.x <= 11.3.2) ne garantissent pas la consommation atomique à usage unique de ces jetons. Un attaquant pourrait, par exemple, utiliser un script pour générer plusieurs requêtes avec le même lien magique, ce qui lui permettrait de se connecter plusieurs fois avec la même identité d'invité. Cela compromet la sécurité des comptes invités et pourrait permettre un accès non autorisé à des informations sensibles au sein de l'instance Mattermost.
L'exploitation de cette vulnérabilité nécessite un accès à un lien magique invité valide. Ces liens sont généralement générés lorsqu'un utilisateur invité est invité à rejoindre une équipe ou un canal. Un attaquant pourrait obtenir un lien magique invité par ingénierie sociale, fuites de données ou si un utilisateur légitime partage accidentellement le lien. La facilité de générer plusieurs requêtes simultanées rend cette vulnérabilité relativement facile à exploiter, en particulier pour les attaquants ayant des compétences techniques de base.
Statut de l'Exploit
EPSS
0.03% (percentile 9%)
CISA SSVC
Vecteur CVSS
La solution à cette vulnérabilité est de mettre à niveau Mattermost vers la version 11.6.1 ou supérieure. Cette version corrige le problème en garantissant que chaque lien magique invité est consommé une seule fois. Si une mise à niveau immédiate n'est pas possible, nous vous recommandons de revoir vos politiques de sécurité Mattermost et d'envisager de mettre en œuvre des mesures de sécurité supplémentaires, telles que la limitation de la durée des liens magiques et la surveillance de l'activité inhabituelle des comptes invités. L'identifiant d'avis Mattermost MMSA-2026-00624 fournit des informations supplémentaires sur la vulnérabilité et la correction.
Actualice Mattermost a la versión 11.6.1 o superior, 10.11.13 o superior, 11.3.3 o superior, 11.4.3 o superior, o 11.5.1 o superior para mitigar la vulnerabilidad. Esta actualización corrige la condición de carrera que permite el uso repetido de tokens de enlace mágico para invitados, previniendo la creación de múltiples sesiones autenticadas.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Un lien magique invité est un lien temporaire qui permet à un utilisateur de rejoindre une équipe ou un canal dans Mattermost sans avoir besoin de créer un compte. Il est couramment utilisé pour fournir un accès temporaire à des invités externes.
Si vous utilisez une version de Mattermost antérieure à la version 11.6.1 et que vous utilisez l'une des versions affectées (10.11.x <= 10.11.12, 11.5.x <= 11.5.0, 11.4.x <= 11.4.2, 11.3.x <= 11.3.2), votre instance est vulnérable.
Mettez à niveau immédiatement vers la dernière version de Mattermost. Examinez les journaux d'audit à la recherche d'une activité inhabituelle. Envisagez de révoquer tous les liens magiques invités existants.
Bien que ce ne soit pas une solution complète, vous pouvez limiter la durée des liens magiques invités et surveiller l'activité inhabituelle des comptes invités.
Consultez l'identifiant d'avis Mattermost MMSA-2026-00624 sur le site Web de Mattermost pour obtenir des informations plus détaillées.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.