Mattermost 服务器 < 7.8.8 / 7.9.x < 7.9.6 / 7.10.x < 7.10.4 多个漏洞
high Nessus 插件 ID 179920
语言：
简介
远程服务器上运行的 Web 应用程序受到多个漏洞影响。描述
远程主机上运行的 Mattermost Server 版本低于 7.8.8，或为低于 7.9.6 的 7.9.x 版或低于 7.10.4 的 7.10.x 版。因此，它受到多个漏洞影响：- Mattermost 在审核日志记录期间无法清理帖子元数据，导致系统永久记录链接内容。(CVE-2023-4108)
- Mattermost 在更新系统管理员时未正确验证请求用户权限，从而允许用户管理员更新系统管理员的详细信息，例如电子邮件、名字和姓氏。
(CVE-2023-4107)
- Mattermost 在对公共手册执行不同操作之前无法检查请求用户是否为访客，导致访客可查看、加入、编辑、导出和存档公共手册。
(CVE-2023-4106)
- 在删除线程中的消息时，Mattermost 无法删除附件，这导致简单用户仍然能够访问和下载已删除消息的附件。(CVE-2023-4105)
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级到 Mattermost Server 7.8.8、7.9.6、7.10.4 或更高版本。另见
插件详情
严重性: High
ID: 179920
文件名: mattermost_server_7_10_4.nasl
版本: 1.4
类型: remote
系列: CGI abuses
发布时间: 2023/8/17
最近更新时间: 2023/8/31
支持的传感器: Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 分数来源: CVE-2023-4108
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:mattermost:mattermost_server
必需的 KB 项: installed_sw/Mattermost Server
易利用性: No known exploits are available
补丁发布日期: 2023/7/12
漏洞发布日期: 2023/8/11
参考资料信息
CVE: CVE-2023-4105, CVE-2023-4106, CVE-2023-4107, CVE-2023-4108
IAVA: 2023-A-0424-S