CVE-2024-47003

Versões do Mattermost 9.11.x a 9.11.0

Versões do Mattermost 9.5.x a 9.5.8

O problema decorre da falha na validação de que a mensagem de uma publicação com permalink seja uma string, permitindo que um invasor envie um valor que não seja uma string como mensagem e cause a falha do front-end. Além disso, o Mattermost não remove embeds de metadata ao transmitir eventos posted, o que pode ser explorado para incluir embeds arbitrários em publicações ou provocar um ataque de Negação de Serviço (DoS) no lado do cliente ao enviar um permalink com uma mensagem que não seja uma string.

Para as versões 9.11.x a 9.11.0 do Mattermost, atualize para uma versão que inclua a correção para este problema.

Para as versões 9.5.x a 9.5.8 do Mattermost, atualize para uma versão que inclua a correção para este problema.

Como solução alternativa temporária, considere desativar a transmissão de eventos posted ou restringir o uso de publicações com permalink até que um patch esteja disponível.

Restrinja o acesso aos componentes metadata e embeds para minimizar o risco de exploração.