🇰🇷 한글 설명
Mattermost의 특정 버전에서 비공개 팀이 공개 팀 검색 결과에 적절히 제한되지 않는 취약점이 발견되었습니다. 인증된 사용자가 수정된 팀 검색 요청을 통해 권한이 없는 비공개 팀의 ID, 이름 및 표시 이름을 조회할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 검색 기능을 교묘하게 이용하면 원래는 볼 수 없는 비밀 팀의 이름과 정보를 찾아낼 수 있는 문제입니다. 팀의 존재 자체를 숨기고 싶을 때 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Mattermost versions 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 fail to properly restrict private teams from public team search results, which allows an authenticated user without permission to list private teams to disclose the ID, name, and display name of private teams via a modified team search request. Mattermost Advisory ID: MMSA-2026-00748
📍 영향받는 시스템
Mattermost 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5
⚔️ 공격 벡터
인증된 사용자가 조작된 팀 검색 요청을 전송하여 비공개 팀 정보를 탈취
🛡️ 대응 방법
Mattermost를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 패치 버전보다 낮은지 확인하십시오.
curl -s http://<mattermost-url>/api/v4/system/version | jq -r '.version'