CVE-2026-6334
Publiée le 2026-05-18 · Dernière modification le 2026-10-14
Les serveurs Mattermost utilisant les versions 10.11.x (jusqu'à 10.11.13) ou 11.5.x (jusqu'à 11.5.1) sont susceptibles d'être affectés par une faille dans le processus de connexion OAuth. Un attaquant authentifié pourrait potentiellement détourner la session d'un autre utilisateur en utilisant un code d'autorisation destiné à un client différent. Cette exploitation est difficile à réaliser, car elle nécessite des privilèges de haut niveau, une interaction spécifique de l'utilisateur et une requête réseau complexe et forgée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Mattermost versions 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 fail to enforce client identity binding during the OAuth authorization code redemption flow which allows an authenticated OAuth client to redeem authorization codes issued to a different client via a crafted token exchange request.. Mattermost Advisory ID: MMSA-2026-00570