Mattermost バージョン 10.11.x <= 10.11.5、11.0.x <= 11.0.4、10.12.x <= 10.12.2 には、レガシー（バージョン1）プロトコルを使用している場合や、検証側がリフレッシュされたトークンを提供しない場合に、リモートクラスタの招待トークンを無効化できない脆弱性が存在します。その結果、攻撃者が招待トークンを取得した場合、リモートクラスタとして認証し、招待が正規に確認された後でも、共有チャンネル上で限定的な操作を実行することが可能になります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。