CVE-2026-13229

W Zammad przed wersją 1.0.4, 1.1.x przed 1.1.3 oraz 1.2.x przed 1.2.1 odkryto problem CSRF. Atakujący może wykorzystać tę podatność, wysyłając żądania międzydomenowe bezpośrednio do API REST dla użytkowników z ważnym ciasteczkiem sesji.

W Zammad przed wersją 1.0.4, 1.1.x przed 1.1.3 oraz 1.2.x przed 1.2.1 zidentyfikowano problem związany z brakiem mechanizmu ochrony w nagłówkach HTTP Access-Control. Atakujący może wysłać żądania międzydomenowe bezpośrednio do API REST dla użytkowników z ważnym ciasteczkiem sesji i otrzymać wynik.

W Zammad przed wersją 1.0.4, 1.1.x przed 1.1.3 oraz 1.2.x przed 1.2.1 odkryto problem, który pozwala atakującym logować się przy użyciu hasła w postaci skrótu zamiast prawidłowego ciągu hasła.

Zammad przed wersją 7.0.1 zawiera błąd autoryzacji w punkcie końcowym REST POST /api/v1/ai_assistance/text_tools/:id. Dane kontekstowe (np. grupa lub organizacja) dostarczone do użycia w promptcie AI nie były sprawdzane pod kątem dostępności dla bieżącego użytkownika, co prowadzi do użycia nieautoryzowanych danych w promptcie.

W Zammad, webowym systemie helpdesk, przed wersjami 7.0.1 i 6.5.4, endpoint REST POST /api/v1/ai_assistance/text_tools/:id nie sprawdzał, czy użytkownik ma uprawnienia do korzystania z narzędzia tekstowego. Umożliwiało to użycie go w każdej sytuacji, bez odpowiedniej autoryzacji.

Zammad przed wersją 7.0.1 zawiera podatność na iniekcję szablonów po stronie serwera (SSTI), która prowadzi do zdalnego wykonania kodu (RCE) przez agenta AI. Wpływ jest ograniczony do środowisk, gdzie atakujący może kontrolować type_enrichment_data (zwykle konfiguracja administracyjna wysokiego poziomu).

Zammad przed wersjami 7.0.1 i 6.5.4 umożliwia nieuwierzytelnionym atakującym dostęp do punktu końcowego 'getting started', który ujawnia wrażliwe dane wewnętrzne, nawet po zakończeniu konfiguracji systemu.

W Zammad, webowym systemie helpdesk, przed wersjami 7.0.1 i 6.5.4, endpoint używany do tworzenia zgłoszeń (ticket creation) nie sprawdzał autoryzacji, gdy używany był parametr do dodawania linków. Umożliwiało to nieautoryzowane tworzenie zgłoszeń z linkami.

Podatność CSRF w Zammad przed wersjami 7.0.1 i 6.5.4. Punkty końcowe OAuth dla Microsoft, Google i Facebook nie walidują parametru stanu CSRF.

Podatność w mechanizmie SSO w Zammad przed wersjami 7.0.1 i 6.5.4. System nie weryfikował, czy nagłówek pochodzi z zaufanego proxy/gateway SSO przed podjęciem działań.