Lolcabanon

Nome do software vulnerável e versões afetadas: Versões 9.5.x a 9.5.8 do Mattermost Descrição: O problema decorre da falha do Mattermost em incluir os endpoints de metadados do Oracle Cloud e do Alibaba na lista de restrições de SSRF, o que pode permitir que um invasor provoque uma falsificação de solicitação do lado do servidor (SSRF) caso o Mattermost esteja implantado no Oracle Cloud ou no Alibaba. Isso poderia permitir que um invasor manipulasse remotamente as solicitações do servidor. Recomendações: Para as versões 9.5.x a 9.5.8 do Mattermost, atualize o Mattermost imediatamente para mitigar o risco de falsificação de solicitação do lado do servidor. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade de metadados do Oracle Cloud e do Alibaba para minimizar o risco de exploração.

Nome do software vulnerável e versões afetadas: Aplicativos móveis Mattermost versões <=2.18.0 Descrição: O problema ocorre quando os aplicativos móveis Mattermost não conseguem desativar o preenchimento automático durante o login enquanto a senha é digitada e a opção de senha visível está selecionada. Isso permite que a senha seja salva no dicionário se o usuário tiver o Swiftkey como teclado padrão e a senha contiver um caractere especial. O mascaramento da senha deve estar desativado para que esse problema ocorra. Recomendações: Para as versões <=2.18.0 dos aplicativos móveis Mattermost, atualize para uma versão superior a 2.18.0 para resolver o problema. Como solução temporária, considere desativar o recurso de preenchimento automático nas configurações do teclado Swiftkey ou evitar o uso de caracteres especiais nas senhas até que uma correção esteja disponível. Além disso, restringir o acesso ao recurso de login ou usar um teclado diferente pode minimizar o risco de exploração.

A vulnerabilidade permite que um invasor com privilégios elevados e acesso aos registros de auditoria leia o conteúdo das mensagens devido à falha na sanitização das cargas de dados do RemoteClusterFrame antes de registrá-las na auditoria.