CVE-2026-18795: уязвимость в Mattermost позволяет карантинить личные сообщения через API

В корпоративном мессенджере Mattermost выявлена уязвимость, получившая идентификатор CVE-2026-18795. Она относится к классу ошибок, связанных с недостаточной проверкой входных данных на стороне сервера (Missing Server-Side Validation), и затрагивает механизм карантина сообщений. Оценка по шкале CVSS составляет 6.4, что соответствует среднему уровню критичности.

Подробности

Уязвимы следующие версии продукта Mattermost:

• 11.10.x — до 11.10.0 включительно;
• 11.7.x — до 11.7.9 включительно;
• 11.9.x — до 11.9.1 включительно;
• 11.8.x — до 11.8.5 включительно.

Суть проблемы в том, что серверная часть Mattermost не выполняет проверку принадлежности сообщения к категории DM (Direct Message) или GM (Group Message) при обработке операции карантина. В результате аутентифицированный пользователь, обладающий соответствующими правами на модерацию, может через прямой вызов API поместить в карантин сообщение, которое относится к личной или групповой переписке, — то есть к категории, для которой подобное действие не должно быть разрешено штатным образом. Официальный идентификатор рекомендации производителя — MMSA-2026-00756. Уязвимость не позволяет выполнить произвольный код или получить несанкционированный доступ к данным напрямую, однако нарушает логику модерации контента и может использоваться для нежелательного вмешательства в приватные переписки. Это делает её значимой для организаций, где Mattermost используется как основной инструмент внутренних коммуникаций.

Что делать

Основная рекомендация — обновиться до исправленных версий Mattermost, выпущенных производителем для каждой из затронутых веток. Поскольку в описании CVE исправленные версии явно не указаны, следует ориентироваться на официальный бюллетень безопасности Mattermost (MMSA-2026-00756) и раздел Security Updates на сайте проекта. До момента обновления можно применить следующие меры предосторожности:

• ограничить круг пользователей, обладающих правами на модерацию и карантин сообщений, до минимально необходимого;
• провести аудит журналов действий модерации на предмет подозрительных операций с DM/GM;
• по возможности ограничить возможность прямых вызовов API со стороны менее доверенных учётных записей, например через сетевые политики или прокси;
• отслеживать официальные каналы Mattermost для получения актуальной информации о патчах.

Итог

CVE-2026-18795 — уязвимость среднего уровня критичности в Mattermost, вызванная отсутствием серверной проверки при операции карантина сообщений. Аутентифицированный пользователь может через API поместить в карантин пост из личной или групповой переписки, что нарушает ожидаемую логику модерации. Затронуты версии 11.10.x ≤ 11.10.0, 11.7.x ≤ 11.7.9, 11.9.x ≤ 11.9.1 и 11.8.x ≤ 11.8.5. Для устранения риска необходимо как можно скорее применить обновления, рекомендованные производителем, и до этого момента минимизировать число учётных записей с правами модерации.

Источник: CVE Project (cvelistV5)