Mattermost Agents-Plugin: Path Traversal ermöglicht Austausch von Plugins
Zusammenfassung
Das Agents-Plugin von Mattermost Server validiert in seiner Mention-Reminder-Komponente die Ziel-Post-ID nicht. Ein authentifizierter Benutzer, der in einem Kanal posten kann, der für einen Systemadministrator sichtbar ist, kann einen präparierten Post mit einer gefälschten Mention-Erinnerung senden. Klickt der Administrator darauf, sendet dessen Browser eine ungewollte API-Anfrage, die ein installiertes Plugin ersetzt, was zur Ausführung von Code auf dem Server führen kann.
Betroffen
- Mattermost 11.7.0 bis 11.7.10
- Mattermost 11.8.0 bis 11.8.5
- Mattermost 11.9.0 bis 11.9.1
- Nur wenn das Agents-Plugin installiert ist
- Version 11.10.x: muss anhand von MMSA-2026-00742 geprüft werden
Behoben in
- Mattermost 11.7.11 (gemäss CNA; noch nicht durch die Herstellerwarnung bestätigt)
- Mattermost 11.8.6 (gemäss CNA; noch nicht durch die Herstellerwarnung bestätigt)
- Mattermost 11.9.2 (gemäss CNA; noch nicht durch die Herstellerwarnung bestätigt)
- Mattermost 11.10.0 (gemäss CNA; noch nicht durch die Herstellerwarnung bestätigt)
Umgehung
- Keine Workaround des Herstellers bekannt.
- Agents-Plugin deaktivieren oder entfernen, falls es nicht genutzt wird.
- Einschränken, wer in Kanälen posten kann, die für Administratoren sichtbar sind.
Ausnutzung
- Keine bekannte Ausnutzung.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Automatable: nein; Technical Impact: total.
Unsere Empfehlung
- Prüfen, ob das Agents-Plugin auf jeder Mattermost-Instanz installiert ist.
- Auf die korrigierte Version aktualisieren, sobald die Herstellerwarnung MMSA-2026-00742 sie bestätigt.
- Falls das Plugin nicht genutzt wird, deaktivieren oder entfernen.
- Die Liste der installierten Plugins auf unerwartete Änderungen prüfen.
- Administratoren anweisen, keine unerwarteten Mention-Erinnerungen oder unbekannte Posts anzuklicken.
- CISA-KEV-Status und CWE in der NVD erneut prüfen, da die CVE neu ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mattermost Security Updates mattermost.com
- Strix CVE-2026-93851 www.strix.ai
- VulDB CVE-2026-93851 vuldb.com
- Mattermost v11 Changelog docs.mattermost.com
- Mattermost Agents plugin (Go package) pkg.go.dev
- The Hacker Wire CVE-2026-93851 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.