远程主机上安装的 Mattermost 服务器版本受到 MMSA-2025-00500 和 MMSA-2025-00499 公告中提及的多个漏洞的影响。

  - Mattermost 版本 10.8.x <= 10.8.3、 10.5.x <= 10.5.8、 9.11.x <= 9.11.17、 10.9.x <= 10.9.2 无法审查 POST /api/v4/teams/:teamId/ 中的团队邀请 ID还允许没有成员邀请权限的团队管理员获取团队的邀请 id。 (CVE-2025-47870)

  - Mattermost 版本 10.8.x <= 10.8.3、 10.5.x <= 10.5.8、 9.11.x <= 9.11.17、 10.9.x <= 10.9.2 无法审查模板文件目标路径中的路径遍历序列这允许系统管理员执行路径遍历通过恶意的路径组件发起的遍历攻击可能会在预期目录之外放置恶意文件。 (CVE-2025-8023)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Mattermost Server 9.11.x < 9.11.18 / 10.5.x < 10.5.9 / 10.8.x < 10.8.4 / 10.9.x < 10.9.3 / 10.10.0 多种漏洞（MMSA-2025-00498、 MMSA-2025-00499）

medium Nessus 插件 ID 264899

版本 1.1