CVSS: 5.8EPSS: 0%CPEs: 1EXPL: 1CVE-2022-1385 – Invitation Email is resent as a Reminder after invalidating pending email invites
https://notcve.org/view.php?id=CVE-2022-1385
19 Apr 2022 — Mattermost 6.4.x and earlier fails to properly invalidate pending email invitations when the action is performed from the system console, which allows accidentally invited users to join the workspace and access information from the public teams and channels. Mattermost versiones 6.4.x y anteriores no invalidan apropiadamente las invitaciones por correo electrónico pendientes cuando la acción es llevada a cabo desde la consola del sistema, lo que permite a usuarios invitados accidentalmente unirse al espacio... • https://hackerone.com/reports/1486820 • CWE-664: Improper Control of a Resource Through its Lifetime CWE-668: Exposure of Resource to Wrong Sphere •
CVSS: 6.5EPSS: 0%CPEs: 4EXPL: 0CVE-2022-0904 – Stack overflow in document extractor in Mattermost
https://notcve.org/view.php?id=CVE-2022-0904
09 Mar 2022 — A stack overflow bug in the document extractor in Mattermost Server in versions up to and including 6.3.2 allows an attacker to crash the server via submitting a maliciously crafted Apple Pages document. Un bug de desbordamiento de pila en el extractor de documentos de Mattermost Server en versiones hasta 6.3.2 incluyéndola, permite a un atacante bloquear el servidor por medio del envío de un documento de Apple Pages diseñado de forma maliciosa • https://mattermost.com/security-updates • CWE-787: Out-of-bounds Write •
CVSS: 7.5EPSS: 0%CPEs: 4EXPL: 0CVE-2022-0903 – Stack overflow in SAML login in Mattermost
https://notcve.org/view.php?id=CVE-2022-0903
09 Mar 2022 — A call stack overflow bug in the SAML login feature in Mattermost server in versions up to and including 6.3.2 allows an attacker to crash the server via submitting a maliciously crafted POST body. Un bug de desbordamiento de pila de llamadas en la función de inicio de sesión SAML en el servidor Mattermost en versiones hasta la 6.3.2 incluyéndola, permite a un atacante bloquear el servidor mediante el envío de un cuerpo POST malintencionadamente diseñado • https://mattermost.com/security-updates • CWE-787: Out-of-bounds Write •
CVSS: 5.7EPSS: 0%CPEs: 1EXPL: 0CVE-2021-37863
https://notcve.org/view.php?id=CVE-2021-37863
17 Dec 2021 — Mattermost 6.0 and earlier fails to sufficiently validate parameters during post creation, which allows authenticated attackers to cause a client-side crash of the web application via a maliciously crafted post. Mattermost versiones 6.0 y anteriores, no comprueban suficientemente los parámetros durante la creación de la entrada, lo que permite a atacantes autenticados causar un bloqueo del lado del cliente de la aplicación web por medio de una entrada maliciosamente diseñada • https://hackerone.com/reports/1253732 • CWE-20: Improper Input Validation •
CVSS: 5.8EPSS: 0%CPEs: 1EXPL: 0CVE-2021-37862
https://notcve.org/view.php?id=CVE-2021-37862
17 Dec 2021 — Mattermost 6.0 and earlier fails to sufficiently validate the email address during registration, which allows attackers to trick users into signing up using attacker-controlled email addresses via crafted invitation token. Mattermost versiones 6.0 y anteriores, no comprueban suficientemente la dirección de correo electrónico durante el registro, lo que permite a atacantes engañar a usuarios para que se registren usando direcciones de correo electrónico controladas por el atacante por medio de un token de in... • https://hackerone.com/reports/1357013 • CWE-754: Improper Check for Unusual or Exceptional Conditions •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-20858
https://notcve.org/view.php?id=CVE-2019-20858
19 Jun 2020 — An issue was discovered in Mattermost Server before 5.15.0. It allows attackers to cause a denial of service (CPU consumption) via crafted characters in a SQL LIKE clause to an APIv4 endpoint. Se detectó un problema en Mattermost Server versiones anteriores a 5.15.0. Permite a atacantes causar una denegación de servicio (consumo de CPU) por medio de caracteres diseñados en una cláusula LIKE SQL para un endpoint APIv4 • https://mattermost.com/security-updates • CWE-400: Uncontrolled Resource Consumption •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-20857
https://notcve.org/view.php?id=CVE-2019-20857
19 Jun 2020 — An issue was discovered in Mattermost Server before 5.16.0. It allows attackers to cause a denial of service (markdown renderer hang) via many backtick characters. Se detectó un problema en Mattermost Server versiones anteriores a 5.16.0. Permite a atacantes causar una denegación de servicio (suspensión del renderizador markdown) por medio de muchos caracteres backtick • https://mattermost.com/security-updates •
CVSS: 7.5EPSS: 0%CPEs: 4EXPL: 0CVE-2019-20855
https://notcve.org/view.php?id=CVE-2019-20855
19 Jun 2020 — An issue was discovered in Mattermost Server before 5.16.1, 5.15.2, 5.14.5, and 5.9.6. It allows attackers to obtain sensitive information (local files) during legacy attachment migration. Se detectó un problema en Mattermost Server versiones anteriores a 5.16.1, 5.15.2, 5.14.5 y 5.9.6. Permite a atacantes obtener información confidencial (archivos locales) durante la migración de archivos adjuntos heredados • https://mattermost.com/security-updates •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-20854
https://notcve.org/view.php?id=CVE-2019-20854
19 Jun 2020 — An issue was discovered in Mattermost Server before 5.17.0. It allows remote attackers to cause a denial of service (client-side application crash) via a LaTeX message. Se detectó un problema en Mattermost Server versiones anteriores a 5.17.0. Permite a atacantes remotos causar una denegación de servicio (bloqueo de una aplicación del lado del cliente) por medio de un mensaje LaTeX • https://mattermost.com/security-updates •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 0CVE-2019-20847
https://notcve.org/view.php?id=CVE-2019-20847
19 Jun 2020 — An issue was discovered in Mattermost Server before 5.18.0. An attacker can send a user_typing WebSocket event to any channel. Se detectó un problema en Mattermost Server versiones anteriores a 5.18.0. Un atacante puede enviar un evento del WebSocket user_typing a cualquier canal • https://mattermost.com/security-updates •