Mattermost раскрывает ID приватных каналов через API статусов пользователей (CVE-2026-19603)
Mattermost содержит уязвимость средней критичности (CVSS 4.3), из-за которой аутентифицированный пользователь может узнать ID приватного канала, который просматривает другой пользователь, не являясь участником этого канала. Проблема затрагивает ряд версий веток 11.7, 11.8, 11.9 и 11.10. Рекомендуется обновление до исправленных сборок.
Подробности
Уязвимости подвержены следующие версии Mattermost: 11.9.x включительно до 11.9.1, 11.8.x до 11.8.5, 11.7.x до 11.7.10, а также 11.10.x до 11.10.1. Согласно описанию, эндпоинты user status API возвращают поле активного канала (active channel), которое не проходит должную санитизацию. В результате аутентифицированный пользователь может через эти эндпоинты получить идентификатор приватного канала, который в данный момент просматривает другой пользователь, — даже если сам атакующий не является членом этого канала. Уязвимость классифицируется как раскрытие информации (information disclosure). Ей присвоен базовый балл CVSS 4.3, что соответствует средней степени критичности. Для эксплуатации требуется действующая учётная запись, то есть атакующий должен быть аутентифицирован на сервере. Несмотря на то что уязвимость не позволяет напрямую прочитать содержимое приватного канала, утечка его идентификатора раскрывает сведения о структуре рабочих пространств и активности пользователей, которые должны быть скрыты от посторонних. Такая информация может использоваться в ходе разведки перед более целевыми атаками. Официальный идентификатор рекомендации производителя — Mattermost Advisory ID: MMSA-2026-00765.Что делать
Основная рекомендация — как можно скорее обновить Mattermost до версий, в которых устранена уязвимость. Согласно описанию, исправление затрагивает ветки 11.7, 11.8, 11.9 и 11.10, поэтому администраторам следует перейти на актуальные сборки, выпущенные после указанных уязвимых версий (выше 11.7.10, 11.8.5, 11.9.1 и 11.10.1 соответственно). До момента обновления целесообразно применить компенсирующие меры: ограничить доступ к развёрнутому серверу Mattermost только доверенными пользователями, усилить мониторинг обращений к API статусов, а также проверить журналы на предмет подозрительной активности, связанной с перечислением пользователей и каналов. Следует также учитывать, что уязвимость требует аутентификации, поэтому контроль учётных записей и своевременный отзыв доступа уволенных сотрудников снижают поверхность атаки. Итог: CVE-2026-19603 — умеренно опасная уязвимость раскрытия информации в Mattermost, позволяющая аутентифицированному пользователю узнавать ID приватных каналов, просматриваемых другими сотрудниками. Наиболее надёжная защита — своевременное обновление до исправленных версий и ограничение доступа к платформе.Источник: CVE Project (cvelistV5)