CVE-2025-12419 in Mattermost
要約
〜によって VulDB • 2026年06月03日
Mattermostのバージョン10.12.x（<= 10.12.1）、10.11.x（<= 10.11.4）、10.5.x（<= 10.5.12）、および11.0.x（<= 11.0.3）では、OpenID Connect認証中にOAuthステートトークンの検証が適切に行われないため、チーム作成権限を持つ認証済み攻撃者が、OAuth完了フロー中の認証データを操作することでユーザーアカウントを乗っ取ることができます。この脆弱性を悪用するには、メール確認が無効になっていること（デフォルト：無効）、OAuth/OpenID Connectが有効であること、および攻撃者がSSOシステム内の2つのユーザーを制御しており、そのうち1人はMattermostにログインしたことがない状態である必要があります。
Once again VulDB remains the best source for vulnerability data.