- شناسه CVE-2025-4981 :CVE
- CWE-427 :CWE
- yes :Advisory
- منتشر شده: ژوئن 20, 2025
- به روز شده: ژوئن 20, 2025
- امتیاز: 9.9
- نوع حمله: Path Traversal
- اثر گذاری: Remote code execution(RCE)
- حوزه: نرم افزارهای کاربردی
- برند: Mattermost
- محصول: Mattermost
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری بحرانی پیمایش مسیر (Path Traversal) در Mattermost نسخه‌های 10.5.0 تا 10.5.5، 9.11.0 تا 9.11.15، 10.8.0، 10.7.0 تا 10.7.2 و 10.6.0 تا 10.6.5 شناسایی شده است. این ضعف امنیتی به دلیل عدم اعتبارسنجی صحیح نام فایل‌ها در استخراج‌کننده آرشیو بوده و به کاربران احراز هویت‌شده اجازه می‌دهد با آپلود آرشیوهایی که نام فایل‌هایشان شامل توالی‌های پیمایش مسیر است، فایل‌ها را در مکان‌های دلخواه روی سیستم فایل قرار دهند. بهره‌برداری از این آسیب‌پذیری می‌تواند منجر به اجرای کد از راه دور (RCE) شود.
توضیحات
آسیب‌پذیری CVE-2025-4981 از نوع المنت مسیر جستجوی کنترل‌نشده مطابق با CWE-427 در پلتفرم Mattermost شناسایی شده است. این آسیب‌پذیری زمانی رخ می‌دهد که برنامه اعتبارسنجی کافی روی نام فایل‌های آرشیو در استخراج‌کننده آرشیو انجام نمی‌دهد. در نتیجه، کاربران احراز هویت‌شده قادر خواهند بود با آپلود آرشیوهایی که شامل توالی‌های پیمایش مسیر مانند ../ در نام فایل‌ها هستند، فایل‌ها را در دایرکتوری‌های دلخواه و حساس سیستم قرار دهند. این امر می‌تواند منجر به اجرای کد از راه دور (RCE)، مانند قرار دادن وب‌شل در سیستم، شود.
این آسیب‌پذیری بر نمونه‌هایی تأثیر می‌گذارد که در آنها آپلود فایل و جستجوی محتوای سند (FileSettings.EnableFileAttachments = true و FileSettings.ExtractContent = true) فعال است. این تنظیمات پیکربندی به‌صورت پیش‌فرض فعال هستند. حمله از راه دور قابل انجام بوده، نیازمند دسترسی کاربری با سطح پایین احراز هویت‌شده است، بدون تعامل کاربر اجرا می‌شود و پیچیدگی پایینی دارد. پیامدهای آن شامل تأثیر بسیار بالا بر محرمانگی، یکپارچگی و در دسترس‌پذیری سیستم است.
Mattermost این ضعف را در نسخه‌های جدید با بهبود اعتبارسنجی نام فایل‌ها در استخراج‌کننده آرشیو پچ کرده است. شدت بحرانی این آسیب‌پذیری و امکان بهره‌برداری توسط هر کاربر احراز هویت‌شده، سازمان‌هایی با چندین کاربر مجاز را در معرض تهدیدی جدی و بحرانی قرار می‌دهد.
CVSS
| Score | Severity | Version | Vector String |
| 9.9 | CRITICAL | 3.1 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected from 10.5.0 through 10.5.5
affected from 9.11.0 through 9.11.15 affected from 10.8.0 through 10.8.0 affected from 10.7.0 through 10.7.2 affected from 10.6.0 through 10.6.5 |
Mattermost |
لیست محصولات بروز شده
| Versions | Product |
| unaffected at 10.9.0
unaffected at 10.5.6 unaffected at 9.11.16 unaffected at 10.8.1 unaffected at 10.7.3 unaffected at 10.6.6 |
Mattermost |
نتیجه گیری
با توجه به شدت بحرانی این آسیب‌پذیری و قابلیت آن برای اجرای کد از راه دور، کاربران Mattermost باید فوراً سیستم خود را به نسخه‌های 10.9.0، 10.5.6، 9.11.16، 10.8.1، 10.7.3 و 10.6.6 به‌روزرسانی کنند. تا زمان اعمال به‌روزرسانی، برای کاهش ریسک توصیه می‌شود قابلیت آپلود فایل (FileSettings.EnableFileAttachments) و جستجوی محتوای اسناد (FileSettings.ExtractContent) غیرفعال شود، دسترسی کاربران احراز هویت‌شده به حداقل محدود گردد و حساب‌ها برای شناسایی فعالیت‌های مشکوک به‌طور منظم بررسی شوند. همچنین استفاده از فایروال اپلیکیشن وب (WAF) برای فیلتر کردن درخواست‌های آپلود آرشیوهای مشکوک، مانیتورینگ لاگ‌های سرور برای شناسایی تلاش‌های پیمایش مسیر یا قرارگیری فایل‌های غیرمجاز و تهیه نسخه‌های پشتیبان جهت امکان بازیابی سریع توصیه می شود. اجرای این اقدامات به‌صورت همزمان امنیت سرور را تقویت کرده و از سوءاستفاده مهاجمان جلوگیری می‌کند، ضمن اینکه کاربران باید وب‌سایت Mattermost را برای دریافت آخرین اطلاعات امنیتی به‌طور منظم بررسی کنند.
امکان استفاده در Mitre Attack
Initial Access (TA0001)
T1078 – Valid Accounts
مهاجم با استفاده از یک حساب کاربری معتبر (اما با سطح دسترسی پایین) در Mattermost وارد شده و فرآیند حمله را آغاز می‌کند.
Execution (TA0002)
T1059 – Command and Scripting Interpreter
با سوءاستفاده از پیمایش مسیر و جای‌گذاری فایل‌های مخرب (مانند وب‌شل یا اسکریپت اجرایی) در مسیر دلخواه، امکان اجرای کد از راه دور (RCE) فراهم می‌شود.
Persistence (TA0003)
T1505.003 – Server Software Component: Web Shell
مهاجم می‌تواند وب‌شل یا فایل مخرب را در مسیر root وب سرور قرار دهد تا دسترسی ماندگار داشته باشد.
Privilege Escalation (TA0004)
T1068 – Exploitation for Privilege Escalation
در صورت بارگذاری باینری یا اسکریپت مخرب در مسیرهای سیستمی، امکان افزایش سطح دسترسی به سطح سرور یا حتی سیستم‌عامل وجود دارد.
Defense Evasion (TA0005)
T1027 – Obfuscated Files or Information
فایل‌های بارگذاری‌شده می‌توانند با نام‌ها یا ساختارهایی شبیه فایل‌های قانونی پنهان شوند تا شناسایی نشوند.
Credential Access (TA0006)
T1552 – Unsecured Credentials
با دسترسی به فایل‌های حساس Mattermost یا سیستم‌عامل، مهاجم می‌تواند رمزهای عبور یا توکن‌های ذخیره‌شده را استخراج کند.
Collection (TA0009)
T1005 – Data from Local System
مهاجم قادر به دسترسی به فایل‌ها و داده‌های حساس ذخیره‌شده در سرور از طریق مسیرهای دلخواه خواهد بود.
Exfiltration (TA0010)
T1041 – Exfiltration Over C2 Channel
داده‌ها و فایل‌های سرقت‌شده می‌توانند از طریق ارتباط استاندارد Mattermost (HTTPS) یا کانال‌های کنترل از راه دور به بیرون منتقل شوند.
Command and Control (TA0011)
T1071.001 – Application Layer Protocol: Web Protocols
وب‌شل یا فایل مخرب بارگذاری‌شده می‌تواند از طریق HTTP/HTTPS به‌عنوان کانال C2 برای مهاجم عمل کند.
Impact (TA0040)
T1489 – Service Stop
فایل‌های بارگذاری‌شده یا تغییر مسیرهای سیستمی می‌تواند موجب اختلال یا توقف سرویس Mattermost شود.
T1490 – Inhibit System Recovery
مهاجم قادر است فایل‌های پشتیبان یا مسیرهای حیاتی را دستکاری کرده و بازیابی سیستم را غیرممکن کند.
T1565 – Data Manipulation
امکان تغییر داده‌های سیستمی یا اپلیکیشن از طریق فایل‌های جایگذاری‌شده وجود دارد.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-4981
- https://www.cvedetails.com/cve/CVE-2025-4981/
- https://mattermost.com/security-updates
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-4981
- https://vuldb.com/?id.313393
- https://nvd.nist.gov/vuln/detail/CVE-2025-4981
- https://cwe.mitre.org/data/definitions/427.html
