There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Mattermost versions 8.1.x before 8.1.11, 9.3.x before 9.3.3, 9.4.x before 9.4.4, and 9.5.x before 9.5.2
    fail to authenticate the source of certain types of post actions, allowing an authenticated attacker to
    create posts as other users via a crafted post action. (CVE-2024-2447)

远程主机上安装的 Mattermost Server 版本低于 8.1.11，或为低于 9.3.3 的 9.x 、低于 9.4.4 的 9.4.x 或低于 9.5.2 的 9.5.x。因此，它受到 MMSA-2024-00306、MMSA-2023-00274 和 MMSA-2024-00311 公告中提及的多个漏洞影响：

  - Mattermost Server 无法对某些类型的帖子操作的来源进行身份验证，从而允许经过认证的攻击者通过构建的帖子操作，以其他用户的身份创建帖子。(CVE-2024-2447)

  - Mattermost Server 未限制用户首选项的数量，使攻击者可以发送大量用户首选项，进而可能造成拒绝服务。(CVE-2024-28949)   
  - Mattermost Server 在 '/api/v4/users/me/teams' 端点中缺少适当的访问控制，使团队管理员可以获取其团队的邀请 ID，从而能够邀请用户，即使已明确删除团队管理员的“添加成员”权限亦然。(CVE-2024-29221)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Mattermost Server 低於 8.1.11 版，或為 9.3.3 之前的 9.x 版、9.4.4 之前的 9.4.x 版、9.5.2 之前的 9.5.x 版。因此，它受到 MMSA-2024-00306、MMSA-2023-00274、MMSA-2024-00311 公告中所提及的多個弱點影響：

  - Mattermost Server 無法驗證特定類型貼文動作的來源，導致經驗證的攻擊者可以透過特製的貼文動作以其他使用者的身分建立貼文。(CVE-2024-2447)

  - Mattermost Server 未限制使用者喜好設定的數量，導致攻擊者可以傳送大量使用者喜好設定，進而可能造成拒絕服務。(CVE-2024-28949)   
  - Mattermost Server 在 '/api/v4/users/me/teams' 端點中缺少適當的存取控制，這使團隊管理員可以取得其團隊的邀請 ID，進而能夠邀請使用者，即使已明確移除團隊管理員的「新增成員」權限也一樣。(CVE-2024-29221)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストで実行されている Mattermost Server のバージョンは、8.1.11 より前、9.3.3 より前の 9.x、9.4.4 より前の 9.4.x もしくは 9.5.2 より前の 9.5.x です。したがって、MMSA-2024-00306、MMSA-2023-00274 および MMSA-2024-00311 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mattermost サーバーは、特定のタイプの投稿アクションのソースの認証に失敗します。このことにより、認証された攻撃者が細工された投稿アクションを介して、他のユーザーとして投稿を作成することが可能です。(CVE-2024-2447)

  - Mattermost Server はユーザー設定の数を制限していません。このため、攻撃者が多数のユーザー設定を送信する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。(CVE-2024-28949)   
  - Mattermost Server には「/api/v4/users/me/teams」エンドポイントでの適切なアクセスコントロールが欠如しており、チーム管理者がチームの招待 ID を取得できるため、チーム管理者から「メンバーの追加」アクセス許可が明示的に削除されていても。ユーザーを招待できる可能性がありました。(CVE-2024-29221)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Mattermost Server installed on the remote host is prior to 8.1.11, 9.x prior to 9.3.3, 9.4.x prior to 9.4.4, or 9.5.x prior to 9.5.2. It is, therefore, affected by multiple vulnerabilities as referenced in the MMSA-2024-00306, MMSA-2023-00274, and MMSA-2024-00311 advisories:

  - Mattermost Server fails to authenticate the source of certain types of post actions, allowing an authenticated     attacker to create posts as other users via a crafted post action. (CVE-2024-2447)

  - Mattermost Server don't limit the number of user preferences which allows an attacker to send a large number of     user preferences potentially causing denial of service. (CVE-2024-28949)   
  - Mattermost Server lacked proper access control in the '/api/v4/users/me/teams' endpoint allowing a team admin to     get the invite ID of their team, thus allowing them to invite users, even if the 'Add Members' permission was     explicitly removed from team admins. (CVE-2024-29221)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
420022	SCA: security update for github.com/mattermost/mattermost/server/v8 (GHSA-wp43-vprh-c3w5)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
420022	SCA: security update for github.com/mattermost/mattermost/server/v8 (GHSA-wp43-vprh-c3w5)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
193254	Mattermost Server < 8.1.11 / 9.x < 9.3.3 / 9.4.x < 9.4.4 / 9.5.x < 9.5.2 多个漏洞	Nessus	CGI abuses	2024/4/12	2024/12/16	medium
193254	Mattermost Server < 8.1.11 / 9.x < 9.3.3 / 9.4.x < 9.4.4 / 9.5.x < 9.5.2 多個弱點	Nessus	CGI abuses	2024/4/12	2024/12/16	medium
193254	Mattermost Server < 8.1.11 / 9.x < 9.3.3 / 9.4.x < 9.4.4 / 9.5.x < 9.5.2 の複数の脆弱性	Nessus	CGI abuses	2024/4/12	2024/12/16	medium
193254	Mattermost Server < 8.1.11 / 9.x < 9.3.3 / 9.4.x < 9.4.4 / 9.5.x < 9.5.2 Multiple Vulnerabilities	Nessus	CGI abuses	2024/4/12	2024/12/16	medium

检测

插件搜索

high

high

medium

medium

medium

medium