PT-2026-48937 · Mattermost · Mattermost
CVSS v3.1
4.3
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Mattermost من 11.6.0 إلى 11.6.1
إصدارات Mattermost من 11.5.0 إلى 11.5.4
إصدارات Mattermost من 10.11.0 إلى 10.11.16
الوصف
توجد مشكلة تتمثل في فشل النظام في تطبيق فحص
PermissionInviteUser عند تعيين AllowOpenInvite أو AllowedDomains أثناء إنشاء فريق. يحدث هذا لأن فحص الأذونات كان يُطبق فقط أثناء عمليات التحديث أو التصحيح. ونتيجة لذلك، يمكن للمستخدم المصادق عليه الذي يمتلك PermissionCreateTeam ولكنه لا يمتلك PermissionInviteUser تكوين الإعدادات التي يتم التحكم فيها عن طريق الدعوة، مثل جعل الفريق قابلاً للانضمام بشكل عام عبر دعوة مفتوحة أو تقييد العضوية من خلال المجالات المسموح بها. ويمكن تحقيق ذلك عبر نقطة النهاية ’POST /api/v4/teams‘ عن طريق تضمين allow open invite: true و/أو قيمة غير فارغة لـ allowed domains في نص الطلب.التوصيات
قم بتحديث إصدارات Mattermost من 11.6.0 إلى 11.6.1 إلى إصدار أحدث من 11.6.1.
قم بتحديث إصدارات Mattermost من 11.5.0 إلى 11.5.4 إلى إصدار أحدث من 11.5.4.
قم بتحديث إصدارات Mattermost من 10.11.0 إلى 10.11.16 إلى إصدار أحدث من 10.11.16.
استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Mattermost