There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Mattermost versions 11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12 fail to to
    verify that the token used during the code exchange originates from the same authentication flow, which
    allows an authenticated user to perform account takeover via a specially crafted email address used when
    switching authentication methods and sending a request to the /users/login/sso/code-exchange endpoint. The
    vulnerability requires ExperimentalEnableAuthenticationTransfer to be enabled (default: enabled) and
    RequireEmailVerification to be disabled (default: disabled). (CVE-2025-12421)

远程主机上安装的 Mattermost Server 版本受到 CVE-2025-12421、MMSA-2025-00526 和 CVE-2025-12756 中提及的一个漏洞影响。

  - Mattermost 版本 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 无法验证代码交换期间使用的标记是否来自相同的身份验证流程，经过身份验证的用户可利用此问题，通过在切换身份验证方法并向 /users/login/sso/code-exchange 端点发送请求时，使用特别构建的电子邮件地址执行帐户接管操作。该漏洞需要启用 ExperimentalEnableAuthenticationTransfer (默认: 启用) 并禁用 RequireEmailVerification (默认: 禁用)。(CVE-2025-12421)   
  - Mattermost 版本 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 未能审查团队电子邮件地址，以使其仅对团队管理员可见。任何经过身份验证的用户均可利用此漏洞，通过 GET /api/v4/channels/{channel_id}/common_teams 端点查看团队电子邮件地址 (CVE-2025-12559)   
  - Mattermost 版本 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 无法在删除 Boards 中的注释时验证用户权限，具有编辑者角色且经过身份验证的用户可利用此漏洞，删除其他用户创建的注释。
    (CVE-2025-12756)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Mattermost Server 版本受到 CVE-2025-12421、MMSA-2025-00526 和 CVE-2025-12756 中所提及的一個弱點影響。

  - Mattermost 版本 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 無法驗證在程式碼交換期間使用的 token 是否源自相同的驗證流程，此情況允許經驗證的使用者在切換驗證方法及傳送要求至 /users/login/sso/code-exchange 端點時，透過使用特製電子郵件地址執行帳戶接管。此弱點需要啟用 experimentalEnableAuthenticationTransfer (預設：啟用) 並停用 RequireEmailVerification (預設：停用)。 (CVE-2025-12421)   
  - Mattermost 版本 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 無法將團隊電子郵件地址處理為只有團隊管理員可以看到，此情況允許任何經驗證的使用者能夠透過 GET /api/v4/channels/{channel_id}/common_teams 端點檢視團隊電子郵件地址 (CVE-2025-12559)   
  - Mattermost 版本 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 在 Boards 中刪除註解時，無法驗證使用者權限，進而允許擁有編輯者角色，經驗證的使用者刪除其他使用者建立的註解。
    (CVE-2025-12756)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされているバージョンの Mattermost Server は CVE-2025-12421、MMSA-2025-00526、CVE-2025-12756 で言及されている脆弱性の影響を受けます。

  - Mattermost バージョン 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 は、コード交換中に使用されるトークンが同じ認証フローから発生していることを検証できません。このため、認証されたユーザーが、認証方法を切り替え、/users/login/sso/code-exchange エンドポイントにリクエストを送信する際に使用される特別に細工されたメールアドレスを通じて、アカウント乗っ取りを行うことが可能です。この脆弱性を利用するには、ExperimentalEnableAuthenticationTransfer を有効にし (デフォルトでは有効)、RequireEmailVerification を無効 (デフォルトでは無効) にする必要があります。(CVE-2025-12421)   
  - Mattermost バージョン 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 は、チームメールアドレスをサニタイズしてチーム管理者のみに表示されるようにできないため、認証されたユーザーは GET /api/v4/channels/{channel_id}/common_teams エンドポイント経由でチームメールアドレスを表示できます (CVE-2025-12559)   
  - Mattermost バージョン 11.0.x <= 11.0.2、10.12.x <= 10.12.1、10.11.x <= 10.11.4、10.5.x <= 10.5.12 は、Boards のコメントを削除する際に、ユーザー権限の検証に失敗します。これにより、エディターロールを持つ認証されたユーザーが他のユーザーが作成したコメントを削除できます。
    (CVE-2025-12756)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Mattermost Server installed on the remote host is affected by a vulnerability as referenced in CVE-2025-12421, MMSA-2025-00526 and CVE-2025-12756.

  - Mattermost versions 11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12     fail to to verify that the token used during the code exchange originates from the same     authentication flow, which allows an authenticated user to perform account takeover via a     specially crafted email address used when switching authentication methods and sending a     request to the /users/login/sso/code-exchange endpoint. The vulnerability requires     ExperimentalEnableAuthenticationTransfer to be enabled (default: enabled) and     RequireEmailVerification to be disabled (default: disabled). (CVE-2025-12421)   
  - Mattermost versions 11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12     fail to sanitize team email addresses to be visible only to Team Admins, which allows any     authenticated user to view team email addresses via the     GET /api/v4/channels/{channel_id}/common_teams endpoint (CVE-2025-12559)   
  - Mattermost versions 11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12     fail to validate user permissions when deleting comments in Boards, which allows an     authenticated user with the editor role to delete comments created by other users.
    (CVE-2025-12756)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
437153	SCA: security update for github.com/mattermost/mattermost-server, github.com/mattermost/mattermost/server/v8 (GHSA-mp6x-97xj-9x62)	Tenable Cloud Security	SCA Checks	2026/1/28	2026/7/2	critical
437153	SCA: security update for github.com/mattermost/mattermost-server, github.com/mattermost/mattermost/server/v8 (GHSA-mp6x-97xj-9x62)	Tenable Self-Hosted Container Security	SCA Checks	2026/1/28	2026/7/2	critical
278109	Mattermost Server 10.5.x <= 10.5.12 / 10.11.x <= 10.11.4 / 10.12.x <= 10.12.1 / 11.0.x <= 11.0.2 多个漏洞 (CVE-2025-12421、MMSA-2025-00526、CVE-2025-12756)	Nessus	CGI abuses	2025/12/10	2026/2/26	critical
278109	Mattermost Server 10.5.x <= 10.5.12 / 10.11.x <= 10.11.4 / 10.12.x <= 10.12.1 / 11.0.x <= 11.0.2 多個弱點 (CVE-2025-12421、MMSA-2025-00526、CVE-2025-12756)	Nessus	CGI abuses	2025/12/10	2026/2/26	critical
278109	Mattermost Server 10.5.x <= 10.5.12 / 10.11.x <= 10.11.4 / 10.12.x <= 10.12.1 / 11.0.x <= 11.0.2 複数の脆弱性 (CVE-2025-12421、MMSA-2025-00526、CVE-2025-12756)	Nessus	CGI abuses	2025/12/10	2026/2/26	critical
278109	Mattermost Server 10.5.x <= 10.5.12 / 10.11.x <= 10.11.4 / 10.12.x <= 10.12.1 / 11.0.x <= 11.0.2 Multiple Vulnerabilities (CVE-2025-12421, MMSA-2025-00526, CVE-2025-12756)	Nessus	CGI abuses	2025/12/10	2026/2/26	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical