CVE-2025-24490

SQL Injection w Mattermost Server — podatność przy zmianie kolejności tablic

CVSS 9.6v3.1pub. 2025-02-24upd. 2025-10-01

Mattermost Server zawiera podatność SQL injection (CWE-89) w mechanizmie zmiany kolejności kategorii tablic (boards). Atakujący z dostępem do konta może wyciągnąć dane z bazy danych, co czyni podatność krytyczną dla poufności przechowywanych informacji.

▸ Pokaż oryginał (EN)

Mattermost versions 10.4.x <= 10.4.1, 9.11.x <= 9.11.7, 10.3.x <= 10.3.2, 10.2.x <= 10.2.2 fail to use prepared statements in the SQL query of boards reordering which allows an attacker to retrieve data from the database, via a SQL injection when reordering specially crafted boards categories.

🤖 Analiza AI

Jak działa

Podatność wynika z braku użycia przygotowanych instrukcji SQL (prepared statements) w zapytaniu odpowiedzialnym za zmianę kolejności tablic. Uwierzytelniony atakujący może wysłać specjalnie spreparowane dane wejściowe przy zmianie kolejności kategorii tablic, co pozwala na wstrzyknięcie złośliwego kodu SQL. W efekcie serwer wykonuje niezamierzone zapytania do bazy danych, ujawniając jej zawartość.

Skutki

Atakujący może odczytać dowolne dane z bazy danych Mattermost, w tym potencjalnie dane użytkowników, wiadomości i konfiguracje. Podatność ma zakres zmieniony (Scope Changed), co oznacza możliwość wpływu poza bezpośredni kontekst aplikacji.

Mitygacja

Należy zaktualizować Mattermost Server do wersji wyższych niż: 10.4.1, 10.3.2, 10.2.2 lub 9.11.7. Szczegółowe informacje o dostępnych patchach dostępne są pod adresem https://mattermost.com/security-updates