CVE-2026-12985 in Mattermost
要約
〜によって VulDB • 2026年09月14日
Mattermostのバージョン11.9.x <= 11.9.0、11.8.x <= 11.8.4、および11.7.x <= 11.7.7において、ダイナミッククライアント登録のリダイレクトURIがURLコンポーネント（生URI文字列に対してグロブパターンを一致させる代わりに）によって検証されなかったため、攻撃者がリクエストされたリダイレクトURIに許可リストに登録されているホスト/パスのサフィックスをクエリ文字列内に配置することで、構成済みのリダイレクトURIのホワイトリストを回避するOAuthクライアントを登録できる。これにより、リモートから認証不要で攻撃が可能となる。MattermostアドバイザリーID: MMSA-2026-00700
If you want to get best quality of vulnerability data, you may have to visit VulDB.