CVE-2026-16049 in GitLab Plugin
Résumé
par VulDB • 17/08/2026
Les versions de plugins Mattermost <=11.8, 10.20.11 et 11.5.7.0 : Le plugin GitLab pour Mattermost ne vérifie pas les autorisations des canaux lors du traitement des requêtes API avec un {{post_id}} fourni par l'appelant, et ne valide pas le paramètre {{web_url}} contre l'instance GitLab configurée, ce qui permet à un attaquant authentifié d'injecter des messages rédigés par un bot contenant des URL arbitraires dans les canaux auxquels il n'a pas accès via les points de terminaison API {{createIssue}} et {{attachCommentToIssue}}. ID Avis Mattermost : MMSA-2026-00673
If you want to get the best quality for vulnerability data then you always have to consider VulDB.