Mattermost não valida tokens CSRF em um endpoint de autenticação

Um atacante pode explorar essa vulnerabilidade CSRF para alterar o método de autenticação de um usuário do Mattermost, como por exemplo, forçando a redefinição da senha ou alterando o método de login preferido. Isso pode levar ao acesso não autorizado à conta do usuário e à possível exfiltração de dados sensíveis. O ataque é realizado através da criação de uma página maliciosa que, quando visitada por um usuário autenticado, envia solicitações para o Mattermost sem a devida validação de token CSRF, permitindo a alteração do método de autenticação.

Organizations utilizing Mattermost for team communication, particularly those with legacy deployments running vulnerable versions (10.11.0–11.5.1). Shared hosting environments where multiple users share a Mattermost instance are also at increased risk, as a compromised user could potentially affect other users on the same server.

• linux / server:

journalctl -u mattermost -f | grep -i "csrf"

• generic web:

curl -I https://<mattermost_url>/auth/change_method | grep -i "csrf-token"

• wordpress / composer / npm: (Not applicable, as Mattermost is not a WordPress plugin or Node.js package) • database (mysql, redis, mongodb, postgresql): (Not applicable, as the vulnerability does not directly involve database interaction) • windows / supply-chain: (Not applicable, as Mattermost is not a Windows application)

1. 2026-04-15Disclosure

   disclosure

1. Reservado2026-03-10
2. Publicada2026-04-15
3. EPSS atualizado2026-04-22

A mitigação primária para a vulnerabilidade CVE-2026-28741 é a atualização para a versão 11.5.1 ou superior do Mattermost. Se a atualização imediata não for possível, considere implementar medidas de proteção adicionais, como a configuração de um Web Application Firewall (WAF) para bloquear solicitações CSRF suspeitas. Verifique as configurações de autenticação e autorização do Mattermost para garantir que as políticas de segurança estejam adequadas. Após a atualização, confirme a correção da vulnerabilidade verificando se os tokens CSRF são corretamente validados em todas as solicitações de autenticação.