CVE-2025-36530mediumCWE-22

Import Path Traversal Enables Unauthorized Unsigned Plugin Installation

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.8epss 0.5%

probabilidad de explotación

0.5%top 59% de las CVE

explotación observada

noninguna fuente lo reporta

Mattermost versions 10.9.x <= 10.9.1, 10.8.x <= 10.8.3, 10.5.x <= 10.5.8, 9.11.x <= 9.11.17 fail to properly validate file paths during plugin import operations which allows restricted admin users to install unauthorized custom plugins via path traversal in the import functionality, bypassing plugin signature enforcement and marketplace restrictions.

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Productos afectados

Mattermost · Mattermost

Referencias

https://mattermost.com/security-updates