CVE-2026-93851
CVE-2026-93851 · Path traversal in Mattermost Agents plugin mention reminder allows plugin replacement via crafted post
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Mattermost versions 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 fail to validate the target post ID in the Agents plugin's mention reminder component, which allows an authenticated user who can post in a channel visible to a system administrator to cause the administrator's browser to send an unintended API request, resulting in replacement of an installed plugin and code execution on the server, via a crafted post containing a forged mention reminder that the administrator clicks. Mattermost Advisory ID: MMSA-2026-00742
CVSS 8.0 · Hoch · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
mattermost
- Softwareversionen
- ≥ 11.9.0, ≤ 11.9.1: Betroffen (semver)
- ≥ 11.8.0, ≤ 11.8.5: Betroffen (semver)
- ≥ 11.7.0, ≤ 11.7.10: Betroffen (semver)
- 11.10.0: Nicht betroffen
- 11.9.2: Nicht betroffen
- 11.8.6: Nicht betroffen
- 11.7.11: Nicht betroffen
Auf 11.7.11 aktualisieren; Auf 11.8.6 aktualisieren; Auf 11.9.2 aktualisieren