平台
mattermost
组件
mattermost
修复版本
10.11.13
11.5.1
11.4.3
11.3.3
8.0.0-20250723052842-4cb8d8940332
CVE-2026-3590 是 Mattermost 中的一个竞态条件漏洞，允许攻击者通过并发请求创建多个独立认证会话。此漏洞影响 Mattermost 版本 10.11.x <= 10.11.12, 11.5.x <= 11.5.0, 11.4.x <= 11.4.2, 11.3.x <= 11.3.2。已发布修复版本 11.6.1，建议及时更新。
Mattermost 中的 CVE-2026-3590 允许攻击者通过并发请求，利用有效的访客魔法链接建立多个独立的已认证会话。这是因为受影响的版本 (10.11.x <= 10.11.12、11.5.x <= 11.5.0、11.4.x <= 11.4.2、11.3.x <= 11.3.2) 未强制执行这些令牌的原子单次使用。攻击者可以例如使用脚本生成多个使用相同魔法链接的请求，从而在相同的访客身份下实现多个登录。这会危及访客帐户的安全性，并可能允许未经授权访问 Mattermost 实例中的敏感信息。
利用此漏洞需要访问有效的访客魔法链接。这些链接通常在邀请访客用户加入团队或频道时生成。攻击者可以通过社会工程、数据泄露或合法用户意外共享链接来获取访客魔法链接。轻松生成多个并发请求使得此漏洞相对容易利用，特别是对于具有基本技术技能的攻击者。
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
此漏洞的解决方案是升级到 Mattermost 版本 11.6.1 或更高版本。此版本通过确保每个访客魔法链接仅使用一次来修复此问题。如果无法立即升级，我们建议您审查 Mattermost 安全策略，并考虑实施额外的安全措施，例如限制魔法链接的持续时间以及监控访客帐户的异常活动。Mattermost Advisory ID: MMSA-2026-00624 提供了有关此漏洞和修复的更多信息。
Actualice Mattermost a la versión 11.6.1 o superior, 10.11.13 o superior, 11.3.3 o superior, 11.4.3 o superior, o 11.5.1 o superior para mitigar la vulnerabilidad. Esta actualización corrige la condición de carrera que permite el uso repetido de tokens de enlace mágico para invitados, previniendo la creación de múltiples sesiones autenticadas.
漏洞分析和关键警报直接发送到您的邮箱。
访客魔法链接是一个临时链接，允许用户无需创建帐户即可加入 Mattermost 中的团队或频道。它通常用于为外部访客提供临时访问权限。
如果您正在使用低于 11.6.1 的 Mattermost 版本，并且使用受影响的版本之一 (10.11.x <= 10.11.12、11.5.x <= 11.5.0、11.4.x <= 11.4.2、11.3.x <= 11.3.2)，则您的实例容易受到攻击。
立即升级到 Mattermost 的最新版本。检查审计日志是否存在任何异常活动。考虑撤销所有现有的访客魔法链接。
虽然这不是一个完整的解决方案，但您可以限制访客魔法链接的持续时间并监控访客帐户的异常活动。
请参阅 Mattermost 网站上的 Mattermost Advisory ID: MMSA-2026-00624 以获取更多详细信息。
CVSS 向量