Mattermost

Mattermost 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 拒绝服务5
• 访问控制4
• 跨站脚本3
• 身份认证2
• 密码学缺陷1
• 信息泄露1
• 业务逻辑1
• 其他弱点1
• 代码执行1

主要弱点

• 资源消耗失控5
• 访问控制缺陷（通用）3
• XSS（通用）2
• 认证尝试次数未限制1
• 信息泄露1
• 权限提升1
• Unlabeled1
• Use of a Key Past its Expiration Date1
• 代码注入1
• 违反安全设计原则（按标题归类）1

常见资产

• h1-*your-own-instance*.cloud.mattermost.comWILDCARD · 7
• mattermost/mattermost-serverSOURCE_CODE · 4
• Mattermost Source CodeSOURCE_CODE · 2
• *.mattermost.comWILDCARD · 2
• mattermost/mattermost-mobileSOURCE_CODE · 1
• mattermost/mattermost-webappSOURCE_CODE · 1
• Mattermost PluginsSOURCE_CODE · 1
• · 1

高票报告

当前状态 19 份 · 全部 19

1. 440
   Reset password link sent over unsecured http protocol访问控制 · 2023-05-10 · 高危
   $750访问控制缺陷（通用）
2. 133
   Account takeover due to misconfiguration密码学缺陷 · 2021-09-17 · 低危
   $0Use of a Key Past its Expiration Date
3. 67
   Persistant Arbitrary code execution in mattermost android代码执行 · 2021-06-03 · 高危
   $0代码注入
4. 49
   ABLE TO TRICK THE VICTIM INTO USING A CRAFTED EMAIL ADDRESS FOR A PARTICULAR SESSION AND THEN LATER TAKE BACK THE ACCOUNT身份认证 · 2022-01-05 · 低危
   $0违反安全设计原则（按标题归类）
5. 45
   Bypass Email Verification in Customer Portal业务逻辑 · 2022-02-26 · 低危
   $0Unlabeled
6. 45
   Privilege Escalation leading to post in channel without having privilege访问控制 · 2021-09-13 · 低危
   $0权限提升
7. 44
   Member role which doesn't have permission to send message can send by executing channel commands访问控制 · 2024-05-08 · 中危
   $0访问控制缺陷（通用）
8. 44
   Mattermost Server OAuth Flow Cross-Site Scripting跨站脚本 · 2021-08-06 · 高危
   $900反射型 XSS
9. 42
   Self XSS in Create New Workspace Screen跨站脚本 · 2022-02-20 · 低危
   $0XSS（通用）
10. 40
    Posts sent via websockets aren't sanitized properly其他弱点 · 2024-10-01 · 低危
    $150输入校验不当
11. 38
    html injection via invite members can be leads account takeover跨站脚本 · 2022-03-22 · 低危
    $0XSS（通用）
12. 30
    Invitation Email is resent as a Reminder after invalidating pending email invites访问控制 · 2022-04-19 · 低危
    $0访问控制缺陷（通用）
13. 20
    Uninstalling Mattermost Launcher for Windows (64-bit), then reinstalling keeps you logged in without authentication身份认证 · 2023-01-14 · 低危
    $0认证尝试次数未限制
14. 18
    DoS via Playbook拒绝服务 · 2022-11-23 · 中危
    $0资源消耗失控
15. 17
    Specially crafted message request crashes the webapp for users who view the message拒绝服务 · 2022-03-14 · 低危
    $150资源消耗失控
16. 15
    DoS via large console messages拒绝服务 · 2022-04-29 · 低危
    $150资源消耗失控
17. 12
    DOS: out of memory from gif through upload api拒绝服务 · 2022-09-21 · 低危
    $150资源消耗失控
18. 9
    DoS via Automatic Response Message拒绝服务 · 2022-11-23 · 中危
    $0资源消耗失控
19. 5
    [mattermost.com] CORS Misconfiguration leakage of admin users信息泄露 · 2021-03-19 · 未评级
    $0信息泄露