Mattermostの特定バージョンではJiraプラグインが有効な場合、Jiraプラグインの認証およびissue-keyパス制限が正しく適用されていません。そのため、認証されていない攻撃者が有効なユーザーIDを知っていれば、細工されたプラグインペイロードを使用してユーザーIDを偽装し、Jiraサーバーに対して任意のissue keyパスを注入した認証済みのGETやPOSTリクエストを送信できる可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。