There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Mattermost versions 10.7.x <= 10.7.0, 10.6.x <= 10.6.2, 10.5.x <= 10.5.3, 9.11.x <= 9.11.12 fails to
    properly invalidate personal access tokens upon user deactivation, allowing deactivated users to maintain
    full system access by exploiting access token validation flaws via continued usage of previously issued
    tokens. (CVE-2025-3230)

遠端主機上安裝的 Mattermost Server 版本舊於 9.11.13、10.5.4、10.6.3 或 10.7.0。因此會受到 MMSA-2025-00458、 MMSA-2025-00463、 MMSA-2025-00467 公告中所提及的多個弱點影響。

  - Mattermost 版本 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x <= 9.11.12 在將使用者帳戶轉換為 bot 帳戶時無法清除 Google OAuth 認證進而允許攻擊者取得未經授權的存取權透過 Google OAuth 註冊流程傳送至 bot 帳戶。 (CVE-2025-2571)

  - Mattermost 版本 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x <= 9.11.12 無法在使用者停用時正確使個人存取 token 失效其可允許停用的使用者維持完整的系統存取權透過繼續使用先前發出的 token 來惡意利用存取 token 驗證瑕疵的問題。 (CVE-2025-3230)

  - Mattermost 版本 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x <= 9.11.12 在變更團隊隱私權設定時無法正確驗證權限進而允許沒有「邀請使用者」的團隊系統管理員/api/v4/teams/:teamId/privacy 端點的存取和修改團隊邀請 ID 的權限。 (CVE-2025-3913)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Mattermost Server 版本低于 9.11.13、10.5.4、10.6.3 或 10.7.0。因此如 MMSA-2025-00458、 MMSA-2025-00463、 MMSA-2025-00467 公告所述受到多个漏洞的影响。

  - Mattermost 版本 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x <= 9.11.12 在将用户帐户转换为 bot 帐户时无法清除 Google OAuth 凭据从而允许攻击者获得未经授权的访问权限通过 Google OAuth 注册流发送到机器人帐户。 (CVE-2025-2571)

  - Mattermost 版本 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x <= 9.11.12 在用户停用时无法正确使个人访问令牌失效从而允许停用用户通过通过继续使用之前颁发的标记来利用访问标记验证缺陷。 (CVE-2025-3230)

  - Mattermost 版本 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x <= 9.11.12 在更改团队隐私设置时无法正确验证权限在没有“invite user”权限的情况下团队管理员可的权限，以通过 /api/v4/teams/:teamId/privacy 端点访问和修改团队邀请 ID。 (CVE-2025-3913)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている Mattermost Server のバージョンは、9.11.13、10.5.4、10.6.3、または 10.7.0 より前です。したがって、 MMSA-2025-00458、 MMSA-2025-00463、 MMSA-2025-00467 アドバイザリで言及されているように、複数の脆弱性の影響を受けます。

  - Mattermost バージョン 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x ] <= [ 9.11.12 は、ユーザーアカウントを bot アカウントに変換する際に、Google OAuth 認証情報の消去に失敗し、攻撃者が不正アクセスを取得する可能性があります。をボットアカウントに移動します。CVE-2025-2571

  - Mattermost バージョン 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x <= 9.11.12 は、ユーザー無効化時に個人用のアクセストークンを適切に無効化できず、無効化されたユーザーが完全なシステムアクセス権を維持する可能性があります。以前発行されたトークンの継続使用によるアクセストークン検証の欠陥の悪用。CVE-2025-3230

  - Mattermost バージョン 10.7.x <= 10.7.0、 10.6.x <= 10.6.2、 10.5.x <= 10.5.3、 9.11.x <= 9.11.12 は、チームプライバシー設定を変更する際に、権限を適切に検証できません。これにより、チーム管理者は「invite user」なしでチーム管理者が行うことができます。 /api/v4/teams/:teamId/privacy エンドポイント経由でチーム招待 ID にアクセスし、変更する権限が付与されます。CVE-2025-3913

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Mattermost Server installed on the remote host is prior to 9.11.13, 10.5.4, 10.6.3, or 10.7.0. It is, therefore, affected by multiple vulnerabilities as referenced in the MMSA-2025-00458, MMSA-2025-00463, MMSA-2025-00467 advisories.

  - Mattermost versions 10.7.x <= 10.7.0, 10.6.x <= 10.6.2, 10.5.x <= 10.5.3, 9.11.x <= 9.11.12 fail to clear     Google OAuth credentials when converting user accounts to bot accounts, allowing attackers to gain     unauthorized access to bot accounts via the Google OAuth signup flow. (CVE-2025-2571)

  - Mattermost versions 10.7.x <= 10.7.0, 10.6.x <= 10.6.2, 10.5.x <= 10.5.3, 9.11.x <= 9.11.12 fails to     properly invalidate personal access tokens upon user deactivation, allowing deactivated users to maintain     full system access by exploiting access token validation flaws via continued usage of previously issued     tokens. (CVE-2025-3230)

  - Mattermost versions 10.7.x <= 10.7.0, 10.6.x <= 10.6.2, 10.5.x <= 10.5.3, 9.11.x <= 9.11.12 fail to     properly validate permissions when changing team privacy settings, allowing team administrators without     the 'invite user' permission to access and modify team invite IDs via the /api/v4/teams/:teamId/privacy     endpoint. (CVE-2025-3913)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
434743	SCA: security update for github.com/mattermost/mattermost/server/v8 (GHSA-mc2f-jgj6-6cp3)	Tenable Cloud Security	SCA Checks	2025/8/19	2026/7/2	medium
434743	SCA: security update for github.com/mattermost/mattermost/server/v8 (GHSA-mc2f-jgj6-6cp3)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/19	2026/7/2	medium
237904	Mattermost Server 9.11.x < 9.11.13 / 10.5.x < 10.5.4 / 10.6.x < 10.6.3 / 10.7.1 多個弱點 (MMSA-2025-00458、 MMSA-2025-00463、 MMSA-2025-00467)	Nessus	CGI abuses	2025/6/6	2026/1/21	medium
237904	Mattermost Server 9.11.x < 9.11.13 / 10.5.x < 10.5.4 / 10.6.x < 10.6.3 / 10.7.1 多种漏洞 (MMSA-2025-00458、 MMSA-2025-00463、 MMSA-2025-00467)	Nessus	CGI abuses	2025/6/6	2026/1/21	medium
237904	Mattermost Server 9.11.x < 9.11.13 / 10.5.x < 10.5.4 / 10.6.x < 10.6.3 / 10.7.1 複数の脆弱性MMSA-2025-00458、 MMSA-2025-00463、 MMSA-2025-00467	Nessus	CGI abuses	2025/6/6	2026/1/21	medium
237904	Mattermost Server 9.11.x < 9.11.13 / 10.5.x < 10.5.4 / 10.6.x < 10.6.3 / 10.7.1 Multiple Vulnerabilities (MMSA-2025-00458, MMSA-2025-00463, MMSA-2025-00467)	Nessus	CGI abuses	2025/6/6	2026/1/21	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium