CVE-2025-54499

lowPriorität · verfolgen · 15EPSS 0.003 · 19. PerzentilEURUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.27% (19th) EPSS

CVSS 3.7 · low

Is it mine?

13 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-27

Mattermost versions 10.5.x <= 10.5.10, 10.11.x <= 10.11.2 fail to use constant-time comparison for sensitive string comparisons which allows attackers to exploit timing oracles to perform byte-by-byte brute force attacks via response time analysis on Cloud API keys and OAuth client secrets

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

3.7

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.13.7lowCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:Nprimary · NVD / NIST USAusnutzbarkeit 2.2 · Auswirkung 1.4

v3.13.1lowAV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:Nsecondary · FSTEC (BDU) RU

v3.13.1lowCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:Nsecondary · ENISA EU

v3.13.1lowCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:Nsecondary · responsibledisclosure@mattermost.comAusnutzbarkeit 1.6 · Auswirkung 1.4

v3.13.1lowCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:Nsecondary · OSV

v3.13.4lowCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-208USCWE-208USCWE-208US

betroffene Produkte (13)

Betroffene Produkte und Versionsbereiche.

Mattermost Mattermost≤ 10.5.0 ≤10.5.10enisa_euvdEU
Mattermost Mattermost≤ 10.11.0 ≤10.11.2enisa_euvdEU
Mattermost Inc Mattermost10.11 → 10.11.3fstec_bduRU
Mattermost Inc Mattermost10.5 → 10.5.11fstec_bduRU
mattermost mattermost server10.11.0 → 10.11.3nvdUScpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*
mattermost mattermost server10.5.0 → 10.5.11nvdUScpe:2.3:a:mattermost:mattermost_server:*:*:*:*:*:*:*:*
Go github.com/mattermost/mattermost-server10.11.0 → 10.11.3osvUSpkg:golang/github.com/mattermost/mattermost-server
Go github.com/mattermost/mattermost-server10.11.0+incompatible → 10.11.3+incompatibleosvUSpkg:golang/github.com/mattermost/mattermost-server
Go github.com/mattermost/mattermost-server10.5.0 → 10.5.11osvUSpkg:golang/github.com/mattermost/mattermost-server
Go github.com/mattermost/mattermost-server10.5.0+incompatible → 10.5.11+incompatibleosvUSpkg:golang/github.com/mattermost/mattermost-server
Go github.com/mattermost/mattermost-server/v5alle VersionenosvUSpkg:golang/github.com/mattermost/mattermost-server/v5
Go github.com/mattermost/mattermost-server/v6alle VersionenosvUSpkg:golang/github.com/mattermost/mattermost-server/v6
Go github.com/mattermost/mattermost/server/v8< 8.0.0-20250728063359-38208b8f065fosvUSpkg:golang/github.com/mattermost/mattermost/server/v8

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-xr3w-rmvj-f6m7Mattermost has an Observable Timing Discrepancy vulnerability2025-10-16ghsa · osvUS
Mattermost versions 10.5.x <= 10.5.10, 10.11.x <= 10.11.2 fail to use constant-time comparison for sensitive string comparisons which allows attackers to exploit timing oracles to perform byte-by-byte brute force attacks via response time analysis on Cloud API keys and OAuth client secrets.
GO-2025-4036Mattermost has an Observable Timing Discrepancy vulnerability in github.com/mattermost/mattermost-server2025-10-30vendor · osvUS
Mattermost has an Observable Timing Discrepancy vulnerability in github.com/mattermost/mattermost-server

auch bekannt als (7)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv nvd NVD CVE.org MITRE

veröffentlicht 2025-10-16geändert 2026-10-19

Referenzen (4)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan