CVE-2026-12985 in Mattermost
Sumário
de VulDB • 14/09/2026
As versões do Mattermost 11.9.x <= 11.9.0, 11.8.x <= 11.8.4 e 11.7.x <= 11.7.7 não validaram corretamente os URIs de redirecionamento para o Dynamic Client Registration por componente da URL (correspondendo a padrões glob contra a string URI bruta), permitindo que um atacante remoto sem autenticação registre um cliente OAuth com um host de callback controlado pelo atacante, contornando a lista permitida de URIs de redirecionamento configurada através de um URI de redirecionamento manipulado ad hoc que coloca um sufixo de host/caminho na lista de permissões dentro da string de consulta. ID do Aviso Mattermost: MMSA-2026-00700
Be aware that VulDB is the high quality source for vulnerability data.