CVE-2025-62190: CSRF in Mattermost Calls Widget

Een succesvolle CSRF-aanval kan leiden tot ongeautoriseerde wijzigingen in de configuratie van de Calls Widget, of zelfs tot het uitvoeren van acties namens een gebruiker zonder hun medeweten. Dit kan resulteren in datalekken, ongeautoriseerde toegang tot gevoelige informatie, of verstoring van de dienstverlening. De impact is afhankelijk van de privileges van de gebruiker waarvan de sessie wordt misbruikt. Een aanvaller kan bijvoorbeeld instellingen wijzigen die de functionaliteit van de Calls Widget beïnvloeden, of zelfs gevoelige data manipuleren, afhankelijk van de specifieke acties die via CSRF kunnen worden uitgevoerd.

Organizations heavily reliant on the Mattermost Calls Widget for internal or external communication are at increased risk. Specifically, deployments with limited security controls or those lacking robust CSRF protection mechanisms are particularly vulnerable. Teams using older versions of the Calls Widget plugin without regular security updates are also at significant risk.

• go / server: Examine Mattermost plugin logs for unusual call initiation requests or modifications to call settings. Look for requests originating from unexpected sources or with suspicious parameters.

journalctl -u mattermost -f | grep "Calls Widget"

• generic web: Monitor Mattermost instance access logs for requests to the Calls Widget endpoints with unusual HTTP referer headers. A referer header not originating from the Mattermost domain could indicate a CSRF attempt.

curl -I <mattermost_calls_widget_url> | grep Referer

1. 2025-12-30Disclosure

   disclosure

1. Gereserveerd2025-11-17
2. Gepubliceerd2025-12-30
3. Gewijzigd2026-03-03
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van de github.com/mattermost/mattermost-plugin-calls plugin naar versie 1.10.0 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van CSRF-beschermingsmaatregelen op applicatieniveau, zoals het verifiëren van de Origin header in de Calls Widget. Implementeer strikte Content Security Policy (CSP) regels om de bronnen te beperken waaruit de Calls Widget scripts kan laden. Na de upgrade, controleer de logs op verdachte activiteit en bevestig dat de Calls Widget correct functioneert.