CVSS: 3.1EPSS: 0%CPEs: 2EXPL: 0CVE-2024-23488 – Files of archived channels accessible with the “Allow users to view archived channels” option disabled
https://notcve.org/view.php?id=CVE-2024-23488
Mattermost fails to properly restrict the access of files attached to posts in an archived channel, resulting in members being able to access files of archived channels even if the “Allow users to view archived channels” option is disabled. Mattermost no logra restringir adecuadamente el acceso a los archivos adjuntos a las publicaciones en un canal archivado, lo que hace que los miembros puedan acceder a los archivos de los canales archivados incluso si la opción "Permitir a los usuarios ver canales archivados" está deshabilitada. • https://mattermost.com/security-updates • CWE-284: Improper Access Control •
CVSS: 4.3EPSS: 0%CPEs: 4EXPL: 0CVE-2024-23493 – Team associated AD/LDAP Groups Leaked due to missing authorization
https://notcve.org/view.php?id=CVE-2024-23493
Mattermost fails to properly authorize the requests fetching team associated AD/LDAP groups, allowing a user to fetch details of AD/LDAP groups of a team that they are not a member of. Mattermost no autoriza adecuadamente las solicitudes que buscan grupos AD/LDAP asociados al equipo, lo que permite a un usuario obtener detalles de los grupos AD/LDAP de un equipo del que no es miembro. • https://mattermost.com/security-updates • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 0CVE-2024-1402 – Denial of service in mattermost mobile apps and server via emoji reactions
https://notcve.org/view.php?id=CVE-2024-1402
Mattermost fails to check if a custom emoji reaction exists when sending it to a post and to limit the amount of custom emojis allowed to be added in a post, allowing an attacker sending a huge amount of non-existent custom emojis in a post to crash the mobile app of a user seeing the post and to crash the server due to overloading when clients attempt to retrive the aforementioned post. Mattermost no verifica si existe una reacción de emoji personalizada al enviarla a una publicación y no limita la cantidad de emojis personalizados que se pueden agregar en una publicación, lo que permite que un atacante que envía una gran cantidad de emojis personalizados inexistentes en una publicación falle la aplicación móvil de un usuario que ve la publicación. • https://mattermost.com/security-updates • CWE-400: Uncontrolled Resource Consumption •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2024-24776 – Incorrect Authorization leads to Channel Member Count Leak
https://notcve.org/view.php?id=CVE-2024-24776
Mattermost fails to check the required permissions in the POST /api/v4/channels/stats/member_count API resulting in channel member counts being leaked to a user without permissions. Mattermost no verifica los permisos requeridos en la API POST /api/v4/channels/stats/member_count, lo que provoca que los recuentos de miembros del canal se filtren a un usuario sin permisos. • https://mattermost.com/security-updates • CWE-284: Improper Access Control •
CVSS: 4.1EPSS: 0%CPEs: 1EXPL: 0CVE-2024-24774 – Missing authorization allows users to access arbitrary security levels on Jira through webhooks (Jira Plugin)
https://notcve.org/view.php?id=CVE-2024-24774
Mattermost Jira Plugin handling subscriptions fails to check the security level of an incoming issue or limit it based on the user who created the subscription resulting in registered users on Jira being able to create webhooks that give them access to all Jira issues. El complemento Mattermost Jira que maneja las suscripciones no verifica el nivel de seguridad de un problema entrante ni lo limita según el usuario que creó la suscripción, lo que hace que los usuarios registrados en Jira puedan crear webhooks que les den acceso a todos los problemas de Jira. • https://mattermost.com/security-updates • CWE-863: Incorrect Authorization •