CVE-2026-8074

Nome do Software Vulnerável e Versões Afetadas Mattermost versão 11.7.0 Mattermost versões anteriores a 10.11.17

Descrição A aplicação insuficiente de verificações de permissões específicas de bots no endpoint de status de atividade do usuário permite que um Gerente de Usuários com acesso de escrita ao gerenciamento de usuários, mas sem acesso a Integrações, desative contas de bots. Isso é possível através do endpoint de API 'PUT /api/v4/users/{id}/active' utilizando a variável id.

Recomendações Atualize a versão 11.7.0 para uma versão mais recente que contenha a correção. Atualize as versões anteriores a 10.11.17 para a versão 10.11.17 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint de API 'PUT /api/v4/users/{id}/active' para usuários sem acesso a Integrações.