प्लेटफ़ॉर्म
mattermost
घटक
mattermost
में ठीक किया गया
10.11.13
11.5.1
11.4.3
11.3.3
8.0.0-20260220133927-c29cf05d40f8
CVE-2026-28741 Mattermost में एक क्रॉस-साइट रिक्वेस्ट फोर्जिंग (CSRF) भेद्यता है। यह भेद्यता हमलावरों को उपयोगकर्ता के प्रमाणीकरण विधि को बदलने की अनुमति देती है, जिससे संभावित रूप से अनधिकृत पहुंच हो सकती है। यह भेद्यता Mattermost के संस्करण 10.11.0 से 11.5.1 तक के संस्करणों को प्रभावित करती है। संस्करण 11.5.1 में इस समस्या का समाधान किया गया है।
यह CSRF भेद्यता हमलावरों के लिए उपयोगकर्ता खातों पर नियंत्रण हासिल करना आसान बना सकती है। एक हमलावर एक दुर्भावनापूर्ण पृष्ठ बनाकर उपयोगकर्ता को उस पर क्लिक करने के लिए बरगला सकता है, जो तब उपयोगकर्ता की ओर से अनुरोधों को स्वचालित रूप से सबमिट करता है। यह हमलावर को उपयोगकर्ता के प्रमाणीकरण विधि को बदलने की अनुमति दे सकता है, जैसे कि दो-कारक प्रमाणीकरण को अक्षम करना या एक नया पासवर्ड सेट करना। इससे हमलावर उपयोगकर्ता के खाते में लॉग इन कर सकता है और संवेदनशील डेटा तक पहुंच सकता है। इस भेद्यता का उपयोग अन्य सिस्टम में आगे बढ़ने के लिए भी किया जा सकता है यदि उपयोगकर्ता के खाते में अन्य सिस्टम तक पहुंच है।
CVE-2026-28741 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन यह सार्वजनिक रूप से ज्ञात है। इस भेद्यता के लिए कोई सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) नहीं है। CISA ने इस CVE को अपनी ज्ञात भेद्यता सूची (KEV) में शामिल नहीं किया है। इस भेद्यता की संभावना मध्यम है, क्योंकि यह एक सामान्य CSRF भेद्यता है और Mattermost का व्यापक रूप से उपयोग किया जाता है।
Organizations utilizing Mattermost for team communication, particularly those with legacy deployments running vulnerable versions (10.11.0–11.5.1). Shared hosting environments where multiple users share a Mattermost instance are also at increased risk, as a compromised user could potentially affect other users on the same server.
• linux / server:
journalctl -u mattermost -f | grep -i "csrf"• generic web:
curl -I https://<mattermost_url>/auth/change_method | grep -i "csrf-token"• wordpress / composer / npm: (Not applicable, as Mattermost is not a WordPress plugin or Node.js package) • database (mysql, redis, mongodb, postgresql): (Not applicable, as the vulnerability does not directly involve database interaction) • windows / supply-chain: (Not applicable, as Mattermost is not a Windows application)
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.02% (4% शतमक)
CISA SSVC
CVSS वेक्टर
इस भेद्यता को कम करने के लिए, Mattermost को संस्करण 11.5.1 या बाद के संस्करण में अपडेट करना महत्वपूर्ण है। यदि तत्काल अपडेट संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग CSRF हमलों को रोकने के लिए किया जा सकता है। इसके अतिरिक्त, उपयोगकर्ता को संदिग्ध लिंक पर क्लिक करने से बचना चाहिए और अपने पासवर्ड को मजबूत रखना चाहिए। Mattermost के सुरक्षा सलाहकार को भी देखें, जो अतिरिक्त शमन चरणों की सिफारिश कर सकता है। अपडेट के बाद, यह सत्यापित करें कि CSRF टोकन ठीक से मान्य हैं और कोई अनधिकृत अनुरोध नहीं भेजे जा रहे हैं।
इस भेद्यता को कम करने के लिए Mattermost को संस्करण 11.5.1 या उच्चतर, 10.11.13 या उच्चतर, 11.3.3 या उच्चतर, या 11.4.3 या उच्चतर में अपडेट करें। यह अपडेट एक प्रमाणीकरण एंडपॉइंट पर CSRF टोकन के सत्यापन की कमी को ठीक करता है, जिससे CSRF हमले को रोका जा सकता है जो उपयोगकर्ता की प्रमाणीकरण विधि को संशोधित करने की अनुमति दे सकते हैं।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-28741 Mattermost में एक क्रॉस-साइट रिक्वेस्ट फोर्जिंग (CSRF) भेद्यता है जो हमलावरों को उपयोगकर्ता के प्रमाणीकरण विधि को अपडेट करने की अनुमति देती है।
यदि आप Mattermost के संस्करण 10.11.0 से 11.5.1 तक का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
Mattermost को संस्करण 11.5.1 या बाद के संस्करण में अपडेट करें।
CVE-2026-28741 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन यह सार्वजनिक रूप से ज्ञात है।
आप इसे Mattermost की वेबसाइट पर पा सकते हैं: [https://mattermost.com/security/MMSA-2026-00625](https://mattermost.com/security/MMSA-2026-00625)
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।