CVE-2025-62190: CSRF in Mattermost Calls Widget

攻击者可以利用此 CSRF 漏洞伪造用户请求，从而执行各种恶意操作。例如，攻击者可以修改用户配置、发送未经授权的消息，甚至可能获得对 Mattermost 服务器的控制权。由于 Calls Widget 广泛使用，该漏洞的潜在影响范围较大。攻击者可以通过诱骗用户点击恶意链接或访问恶意网站来触发此漏洞，从而在用户不知情的情况下执行攻击。如果攻击者能够成功利用此漏洞，可能会导致敏感信息泄露、服务中断或系统被破坏。

Organizations heavily reliant on the Mattermost Calls Widget for internal or external communication are at increased risk. Specifically, deployments with limited security controls or those lacking robust CSRF protection mechanisms are particularly vulnerable. Teams using older versions of the Calls Widget plugin without regular security updates are also at significant risk.

• go / server: Examine Mattermost plugin logs for unusual call initiation requests or modifications to call settings. Look for requests originating from unexpected sources or with suspicious parameters.

journalctl -u mattermost -f | grep "Calls Widget"

• generic web: Monitor Mattermost instance access logs for requests to the Calls Widget endpoints with unusual HTTP referer headers. A referer header not originating from the Mattermost domain could indicate a CSRF attempt.

curl -I <mattermost_calls_widget_url> | grep Referer

1. 2025-12-30Disclosure

   disclosure

1. 已保留2025-11-17
2. 发布日期2025-12-30
3. 修改日期2026-03-03
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级至 Mattermost 1.10.0 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以配置 Mattermost 服务器以强制使用 HTTPS，并启用 CSRF 保护机制。此外，建议用户谨慎对待来自未知来源的链接和网站，避免点击可疑链接。在升级过程中，如果遇到兼容性问题，可以尝试回滚到之前的稳定版本，并联系 Mattermost 支持团队寻求帮助。升级后，请确认 Calls Widget 功能正常运行，以验证漏洞已成功修复。