IT-Sentinel

« BACK_TO_HOME

PUBLISHED

2025-12-17 13:15

MODIFIED

2025-12-17 13:15

CVSS_SCORE V3

3.0

EPSS (Prob. Exploit)

0.18%

Top 93.4%

DATA SOURCES:

NVD 🔗 2025-12-17 CVE PROJECT 🔗 2026-01-19 CWE MITRE 🔗 2026-11-01 FIRST EPSS 🔗 2026-10-25 GITHUB 🔗 2026-11-04 OSV 🔗 2026-11-01

> DESCRIPTION

Mattermost versions 10.11.x <= 10.11.6 and Mattermost GitHub plugin versions <=2.4.0 fail to validate plugin bot identity in reaction forwarding which allows attackers to hijack the GitHub reaction feature to make users add reactions to arbitrary GitHub objects via crafted notification posts.

> AFFECTED_PRODUCTS

ℹ️ Aucun produit affecté n'a encore été publié par NVD pour cette CVE.

> CVSS V3 METRICS

CVSS_VECTOR

CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:N

EXPLOITABILITY

1.3

IMPACT

1.4

> MÉTRIQUES CVSS DÉTAILLÉES

                CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:N
            

Métrique	Valeur	Interprétation
AV (Vecteur d'Attaque) Attack Vector	Network (N)	Exploit possible à distance via réseau (HTTP, API, etc.)
AC (Complexité d'Attaque) Attack Complexity	High (H)	Conditions spécifiques doivent être réunies pour exploiter
PR (Privilèges Requis) Privileges Required	Low (L)	Authentifié avec compte utilisateur basique
UI (Interaction Utilisateur) User Interaction	Required (R)	Nécessite une action utilisateur (clic lien, ouverture fichier, etc.)
S (Périmètre) Scope	Changed (C)	Impact s'étend au-delà du composant compromis
C (Impact Confidentialité) Confidentiality Impact	None (N)	Aucune divulgation d'informations
I (Impact Intégrité) Integrity Impact	Low (L)	Modification limitée des données possible
A (Impact Disponibilité) Availability Impact	None (N)	Aucune interruption de service

> RÉSUMÉ DES IMPACTS

Confidentialité

None

Aucune divulgation d'informations

Intégrité

Low

Modification limitée des données possible

Disponibilité

None

Aucune interruption de service

> WEAKNESSES

CWE-1287

> CWE DETAILED DESCRIPTIONS

CWE-1287: Improper Validation of Specified Type of Input - The product receives input that is expected to be of a certain type, but it does not validate or incorrectly validates that the input is actually of the expected type.

> GITHUB SECURITY ADVISORY

GHSA-jf5h-xfw4-p8gp LOW

Mattermost GitHub Plugin Bot Identity Validation Bypass Allows Arbitrary GitHub Reaction Injection

AFFECTED PACKAGES:

GO / github.com/mattermost/mattermost-plugin-github

< 1.0.1-0.20250829075715-0deffcfc6bee

Fixed in: 1.0.1-0.20250829075715-0deffcfc6bee

GO / github.com/mattermost/mattermost

>= 11.0.0-alpha.1, < 11.1.0

Fixed in: 11.1.0

GO / github.com/mattermost/mattermost

< 10.11.7-0.20251106103514-3b05384dd014

Fixed in: 10.11.7-0.20251106103514-3b05384dd014

GO / github.com/mattermost/mattermost/server/v8

>= 10.11.0-rc1, < 10.11.7-0.20251106103514-3b05384dd014

Fixed in: 10.11.7-0.20251106103514-3b05384dd014

> OSV (GOOGLE OPEN SOURCE VULNERABILITIES)

Mattermost GitHub Plugin allows unauthorized GitHub reactions via reaction forwarding hijacking

AFFECTED PACKAGES:

Unknown / Unknown

17 versions affected

ALIASES:

GHSA-jf5h-xfw4-p8gp, GO-2025-4247

> HISTORIQUE DES MODIFICATIONS

Première apparition

17/12/2025 13:15

Source: NVD

📊 ENRICHISSEMENT 19/01/2026 17:38

CVEPROJECT

Champ modifié: CVE Project

Ancienne valeur:

Non

Nouvelle valeur:

Oui

📊 ENRICHISSEMENT 01/01/2026 06:01

CWE

Champ modifié: Description CWE