遠端主機上安裝的 Mattermost Server 版本受到 MMSA-2025-00497、 MMSA-2025-00496、 MMSA-2025-00516 公告中所提及的多個弱點影響。

  - Mattermost 版本 10.5.x <= 10.5.10, 10.11.x <= 10.11.2 在新增通道成員時無法正確驗證來賓使用者權限這可讓來賓使用者透過 `/api/v4/channels/ {channel_id}/members` 端點。 (CVE-2025-10545)

  - Mattermost 版本 10.5.x <= 10.5.10, 10.11.x <= 10.11.2 存取通道資訊時無法正確驗證來賓使用者權限這可讓來賓使用者透過 `/api/v4/teams/{ team_id}/channels/ids`端點。 (CVE-2025-41443)

  - Mattermost 版本 10.5.x <= 10.5.10, 10.11.x <= 10.11.2 無法針對敏感字串比較使用常數時間比較進而允許攻擊者惡意利用定時 oracle 透過 Cloud 上的回應時間分析來執行逐位元組的暴力密碼破解攻擊API 金鑰和 OAuth 用戶端密碼。 (CVE-2025-54499)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Mattermost Server 10.5.x < 10.5.11 / 10.11.x < 10.11.3 / 10.12.0 多個弱點 (MMSA-2025-00497、 MMSA-2025-00496、 MMSA-2025-00516)

medium Nessus Plugin ID 271200

版本 1.2