CVE-2026-3590

Опубликовано: 15 апр. 2026

Источник: nvd

CVSS3: 6.5

EPSS Низкий

Описание

Mattermost versions 10.11.x <= 10.11.12, 11.5.x <= 11.5.0, 11.4.x <= 11.4.2, 11.3.x <= 11.3.2 fail to enforce atomic single-use consumption of guest magic link tokens, which allows an attacker with access to a valid magic link to establish multiple independent authenticated sessions via concurrent requests.. Mattermost Advisory ID: MMSA-2026-00624

Ссылки

https://mattermost.com/security-updates
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*

Версия от 10.11.0 (включая) до 10.11.13 (исключая)

cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*

Версия от 11.3.0 (включая) до 11.3.3 (исключая)

cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*

Версия от 11.4.0 (включая) до 11.4.3 (исключая)

cpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*

Версия от 11.5.0 (включая) до 11.5.1 (исключая)

EPSS

Процентиль: 4%

0.00145

Низкий

6.5 Medium

CVSS3

Дефекты

CWE-367

Связанные уязвимости

CVE-2026-3590

CVSS3: 6.5

debian

4 месяца назад

Mattermost versions 10.11.x <= 10.11.12, 11.5.x <= 11.5.0, 11.4.x <= 1 ...

GHSA-mh4x-rmrx-3hp4

CVSS3: 6.5

github

3 месяца назад

Mattermost has session spoofing due to lack of single-use consumption of guest magic link tokens enforcement

BDU:2026-05568

CVSS3: 6.5

fstec

4 месяца назад

Уязвимость приложения для обмена мгновенными сообщениями Mattermost, связанная с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»), позволяющая нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации

EPSS

Процентиль: 4%

0.00145

Низкий

6.5 Medium

CVSS3

Дефекты

CWE-367