Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2026-19541

Outgoing OAuth connection client secret exposure during connection validation

Публикация: 16.10.2026·Обновлена: 29.10.2026, 21:08·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Mattermost versions 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10, 11.10.x <= 11.10.1 fail to require re-entry of the stored client secret when validating an outgoing OAuth connection, which allows an authenticated user with permission to manage outgoing OAuth connections to obtain the secret via pointing the token URL at an attacker-controlled endpoint and triggering validation.. Mattermost Advisory ID: MMSA-2026-00761

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Update Mattermost to versions 11.11.0, 11.9.2, 11.8.6, 11.7.11, 11.10.2 or higher.

CVE Record: Mattermost ↗

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Mattermost / Mattermost 

{
  "status": "affected",
  "version": "11.9.0",
  "versionType": "semver",
  "lessThanOrEqual": "11.9.1"
}
{
  "status": "affected",
  "version": "11.8.0",
  "versionType": "semver",
  "lessThanOrEqual": "11.8.5"
}
{
  "status": "affected",
  "version": "11.7.0",
  "versionType": "semver",
  "lessThanOrEqual": "11.7.10"
}
{
  "status": "affected",
  "version": "11.10.0",
  "versionType": "semver",
  "lessThanOrEqual": "11.10.1"
}
{
  "status": "unaffected",
  "version": "11.11.0"
}
{
  "status": "unaffected",
  "version": "11.9.2"
}
{
  "status": "unaffected",
  "version": "11.8.6"
}
{
  "status": "unaffected",
  "version": "11.7.11"
}
{
  "status": "unaffected",
  "version": "11.10.2"
}

mattermost / mattermost_server 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "11.7.11",
  "versionStartIncluding": "11.7.0"
}
cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*

mattermost / mattermost_server 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "11.8.6",
  "versionStartIncluding": "11.8.0"
}
cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*

mattermost / mattermost_server 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "11.9.2",
  "versionStartIncluding": "11.9.0"
}
cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*

mattermost / mattermost_server 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "11.10.2",
  "versionStartIncluding": "11.10.0"
}
cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve6.5
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьнет
A · Доступностьнет
CVSS 3.1 · responsibledisclosure@mattermost.com6.5
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьнет
A · Доступностьнет

Классы CWE

CWE-201 · Включение чувствительной информации в отосланные данные

Источники и ссылки

Бюллетень вендора · mattermost.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:15:29.574218+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T18:02:58.013795+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T18:02:58.013795+00:00"
  },
  "affected": [
    "cve",
    "nvd"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T18:02:58.013795+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:15:29.574218+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T18:02:58.013795+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

  1. Данные обновлены05.11.2026, 00:15
  2. Данные обновлены04.11.2026, 00:12
  3. Данные обновлены03.11.2026, 00:11
  4. Данные обновлены02.11.2026, 00:10
  5. Данные обновлены31.10.2026, 11:57
  6. Данные обновлены29.10.2026, 21:41
  7. Данные обновлены29.10.2026, 11:38
  8. Опубликована28.10.2026, 21:03

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-93847
Improper post type validation on scheduled post endpoints
Mattermost / Mattermost · mattermost / mattermost_server
Низкий3.5
0,17 %
26.10.2026
CVE-2026-93846
Team admin can escalate a team member's permissions via the team member roles endpoint
Mattermost / Mattermost
Низкий3.8
0,15 %
26.10.2026
CVE-2026-93850
Unbounded memory consumption during PDF text extraction
Mattermost / Mattermost · mattermost / mattermost_server
Средний6.5
0,39 %
26.10.2026
CVE-2026-93849
Mattermost allows authenticated users to trigger excessive memory allocation via crafted msgpack binary WebSocket frames
Mattermost / Mattermost · mattermost / mattermost_server
Средний6.5
0,47 %
26.10.2026
CVE-2026-93848
Mattermost OpenID discovery endpoint request bypasses outbound connection filtering, allowing SSRF by a System Administrator
Mattermost / Mattermost · mattermost / mattermost_server
Низкий2.7
0,29 %
26.10.2026
CVE-2026-19541: Outgoing OAuth connection client secret exposure during connection validation · CVE Радар