CVE-2026-19600— Mattermost 调试日志明文记录认证令牌漏洞
一分钟漏洞结论
影响对象
Mattermost Mattermost
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Mattermost 版本 11.9.x（≤ 11.9.1）、11.8.x（≤ 11.8.5）、11.7.x（≤ 11.7.10）以及 11.10.x（≤ 11.10.1）在将身份验证令牌写入服务器日志条目前未能对其进行清理（sanitize），导致能够访问服务器日志的攻击者可获取有效的会话令牌或 OAuth 访问令牌，并通过调试级别（debug-level）的 Mattermost 服务器日志冒充已认证用户。 Mattermost 安全公告编号：MMSA-2026-00763
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-19600 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Mattermost logs plaintext authentication tokens in debug-level server logs on failed auth attempts
来源: CVE Program / CVE List V5
Vulnerability Description
Mattermost versions 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10, 11.10.x <= 11.10.1 fail to sanitize authentication tokens before writing them to server log entries, which allows an attacker with access to server logs to obtain valid session tokens or OAuth access tokens and impersonate authenticated users via the debug-level Mattermost server log.. Mattermost Advisory ID: MMSA-2026-00763
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过日志文件的信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Mattermost | Mattermost | 11.9.0 ~ 11.9.1 | - |
|
二、漏洞 CVE-2026-19600 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-19600 的情报信息
请登录查看更多情报信息。
同批安全公告 · Mattermost · 2026-10-16 · 共 15 条
| CVE-2026-16453 | 7.1 HIGH | Mattermost SAML RelayState 伪造导致未授权加入团队漏洞。 |
| CVE-2026-16251 | 6.5 MEDIUM | Mattermost 图像代理内存耗尽漏洞 |
| CVE-2026-19621 | 6.5 MEDIUM | Mattermost 消息删除与线程读取导致集成密钥泄露漏洞 |
| CVE-2026-18551 | 6.5 MEDIUM | Mattermost 成员角色 API 访客账户提权漏洞 |
| CVE-2026-19541 | 6.5 MEDIUM | OAuth 连接验证时客户端密钥泄露漏洞 |
| CVE-2026-18795 | 6.4 MEDIUM | Discord 未验证导致隔离帖子漏洞 |
| CVE-2026-18223 | 5.0 MEDIUM | Mattermost 邀请令牌未绑定邮箱致未授权访问漏洞 |
| CVE-2026-19601 | 4.9 MEDIUM | AD/LDAP 测试连接功能凭据泄露漏洞 |
| CVE-2026-19076 | 4.4 MEDIUM | Mattermost 账户切换 OAuth 会话绕过漏洞 |
| CVE-2026-18799 | 4.3 MEDIUM | Mattermost 服务器 Slack 导入账号绑定绕过漏洞 |
| CVE-2026-18256 | 4.3 MEDIUM | 团队搜索 API 私有元数据泄露漏洞 |
| CVE-2026-18560 | 4.3 MEDIUM | Mattermost GetFile API 认证用户可探测帖子隔离状态 |
| CVE-2026-19603 | 4.3 MEDIUM | 用户状态接口私有频道 ID 泄露 |
| CVE-2026-19867 | 4.3 MEDIUM | 用户通知属性未限制提及键导致 CPU 耗尽漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-19600
暂无评论