CVE-2025-62190: CSRF in Mattermost Calls Widget プラグイン

このCSRF脆弱性は、攻撃者が認証済みユーザーのセッションを悪用し、ユーザーの権限でアクションを実行することを可能にします。例えば、攻撃者はユーザーが意図せずに設定を変更したり、機密情報にアクセスしたりする可能性があります。攻撃者は、悪意のあるウェブサイトやメールに埋め込まれた不正なリンクを通じて、この脆弱性を悪用する可能性があります。Mattermostインスタンスの管理者は、この脆弱性を放置すると、データ漏洩、システム改ざん、およびサービス停止につながる可能性があります。

Organizations heavily reliant on the Mattermost Calls Widget for internal or external communication are at increased risk. Specifically, deployments with limited security controls or those lacking robust CSRF protection mechanisms are particularly vulnerable. Teams using older versions of the Calls Widget plugin without regular security updates are also at significant risk.

• go / server: Examine Mattermost plugin logs for unusual call initiation requests or modifications to call settings. Look for requests originating from unexpected sources or with suspicious parameters.

journalctl -u mattermost -f | grep "Calls Widget"

• generic web: Monitor Mattermost instance access logs for requests to the Calls Widget endpoints with unusual HTTP referer headers. A referer header not originating from the Mattermost domain could indicate a CSRF attempt.

curl -I <mattermost_calls_widget_url> | grep Referer

1. 2025-12-30Disclosure

   disclosure

1. 予約済み2025-11-17
2. 公開日2025-12-30
3. 更新日2026-03-03
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、Mattermostをバージョン1.10.0以降にアップデートすることです。アップデートがすぐに利用できない場合、CSRFトークンを適切に検証するようにMattermostの構成を調整することを検討してください。また、Web Application Firewall (WAF) を使用して、悪意のあるCSRFリクエストをブロックすることも有効な対策となります。WAFのルールを調整し、Calls Widgetに関連するリクエストを厳密に検証してください。最後に、ユーザーに対して、信頼できないウェブサイトやメールのリンクをクリックしないように注意喚起することも重要です。