CVE-2026-56733
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Zammad przed wersjami 7.0.2 i 7.1.0 występuje brak walidacji w kaskadzie autoryzacji. W określonych warunkach ograniczenia klucza dostępu są nadpisywane przez ukryte uprawnienia konta nadrzędnego, co niweluje separację obszarów funkcjonalnych i prowadzi do niekontrolowanej ekspansji uprawnień administracyjnych. Atakujący może tworzyć nowe konta administratorów pomimo ograniczeń tokenów, uzyskując pełny dostęp do wszystkich danych systemu (zgłoszenia, klienci, konfiguracja) i całkowitą kontrolę nad instancją Zammad. Problem naprawiono w wersjach 7.0.2 i 7.1.0.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad instancją Zammad, włącznie z możliwością tworzenia kont administratorów i dostępem do wszystkich danych, co stanowi poważne naruszenie integralności całego środowiska.
Rekomendacja
Natychmiast zaktualizuj Zammad do wersji 7.0.2 lub 7.1.0 (lub nowszej) oraz przeprowadź audyt hierarchii autoryzacji i istniejących kont administratorów.
Inne podatności w Zammad
Zobacz wszystkie- CVE-2017-6081Wysokie
W Zammad przed wersją 1.0.4, 1.1.x przed 1.1.3 oraz 1.2.x przed 1.2.1 odkryto problem CSRF. Atakujący może wykorzystać tę podatność, wysyłając żądania międzydomenowe bezpośrednio do API REST dla użytkowników z ważnym ciasteczkiem sesji.
- CVE-2026-102490WysokieAktywnie exploitowane
Podatność w pakietach Zammad (DEB i RPM) pozwala lokalnemu atakującemu z uprawnieniami zapisu jako nieuprzywilejowane konto usługi zammad na eskalację do pełnych uprawnień root na hoście. Procesy usług uruchamiane jako root wykonywały pliki należące do konta zammad przed zrzuceniem uprawnień, a automatyczne restarty usług umożliwiały szybką eskalację bez interakcji administratora.
- CVE-2026-102489KrytyczneAktywnie exploitowane
Podatność na przejęcie sesji w Zammad w wersjach 6.3.0 do 6.5.4 prowadzi do zdalnego wykonania kodu jako użytkownik zammad. Problem występuje również w wersjach 7.0.0 do 7.1.2, ale nie jest tam wykorzystywalny ze względu na zmiany w frameworku.
- CVE-2026-84458Krytyczne
W Zammad przed wersją 7.1.2, gdy włączone jest ustawienie "Automatic account link on initial logon", system wiąże tożsamość zewnętrznego dostawcy SSO z istniejącym kontem lokalnym na podstawie adresu e-mail raportowanego przez dostawcę, bez weryfikacji, że dostawca potwierdził własność tego adresu. Atakujący kontrolujący dowolną tożsamość u skonfigurowanego dostawcy (domyślnie m.in. dowolny tenant Azure AD przez rejestrację aplikacji Microsoft 365 /common) może ustawić e-mail tożsamości na adres ofiary, uwierzytelnić się i zostać zalogowanym jako ofiara, omijając jej lokalne hasło. Problem dotyczy wszystkich istniejących kont, w tym agentów i administratorów.
- CVE-2024-33668Krytyczne
W Zammad przed wersją 6.3.0 odkryto problem: Zammad Upload Cache używa niebezpiecznych, częściowo przewidywalnych identyfikatorów FormID do identyfikacji treści. Atakujący może próbować je odgadnąć (brute force), aby przesłać złośliwe treści do wersji roboczych artykułów, do których nie ma dostępu.
- CVE-2017-6080Krytyczne
W Zammad przed wersją 1.0.4, 1.1.x przed 1.1.3 oraz 1.2.x przed 1.2.1 zidentyfikowano problem związany z brakiem mechanizmu ochrony w nagłówkach HTTP Access-Control. Atakujący może wysłać żądania międzydomenowe bezpośrednio do API REST dla użytkowników z ważnym ciasteczkiem sesji i otrzymać wynik.
- CVE-2017-5619Krytyczne
W Zammad przed wersją 1.0.4, 1.1.x przed 1.1.3 oraz 1.2.x przed 1.2.1 odkryto problem, który pozwala atakującym logować się przy użyciu hasła w postaci skrótu zamiast prawidłowego ciągu hasła.
- CVE-2026-84465Wysokie
Zammad to internetowy system helpdesk typu open source. W wersjach przed 7.1.2, podczas sprawdzania podpisu cyfrowego przychodzącego e-maila podpisanego S/MIME, Zammad nie weryfikuje, czy certyfikat podpisujący jest rzeczywiście zaufany — sprawdza jedynie, czy certyfikat o pasującej nazwie jest już przechowywany w systemie. Atakujący może utworzyć własny certyfikat z nazwą prawdziwego, wcześniej zaufanego nadawcy i wysłać sfałszowany e-mail, który zostanie wyświetlony z oznaczeniem „prawidłowo podpisany”. Problem naprawiono w wersji 7.1.2.
- CVE-2026-84464Wysokie
Zammad to internetowy system helpdesk typu open source. W wersjach przed 7.1.2 funkcja External Data Source, używana do wyszukiwania rekordów w systemie zewnętrznym, nie weryfikowała odpowiednio, czy użytkownik ma prawo widzieć konkretny ticket, użytkownika, grupę lub organizację, zanim uwzględniła ich szczegóły w żądaniu do systemu zewnętrznego. Uwierzytelniony użytkownik, nawet z podstawowym dostępem klienta, mógł to wykorzystać, odwołując się do identyfikatora innego rekordu, i w ten sposób wyświetlić szczegóły ticketów, kont klientów, zespołów lub organizacji, które do niego nie należały. Problem naprawiono w wersji 7.1.2.
- CVE-2026-84463Średnie
W Zammad przed wersją 7.1.2 użytkownik z prawem edycji bazy wiedzy może osadzić widget wideo ze specjalnie spreparowaną wartością, która nie jest escapowana w kontekście atrybutu HTML. Gdy inny użytkownik z uprawnieniem przełączania sesji otworzy taką odpowiedź, jego przeglądarka wysyła żądanie do endpointu przełączania sesji Zammad z jego własnymi poświadczeniami, co powoduje przełączenie go na konto wybrane przez autora odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
Zammad is a web based open source helpdesk/customer support system. Prior to 7.0.2 and 7.1.0, this issue concerns a lack of discursive validation within the authorization cascade. It has been determined that the system-level enforcement of access restrictions during the initialization of new identity objects exhibits a discrepancy: Under specific conditions, the granular restrictions of the access key being used are overridden by the latent authorization authority of the parent account. Consequently, this means that the intended separation of functional areas is nullified, resulting in an uncontrolled expansion of administrative discretion. Due to this potential integrity breach of the entire trust environment, an immediate evaluation of the authorization hierarchies is imperative. Impact An attacker can create new administrator accounts despite token restrictions. This grants full access to all system data (tickets, customers, configuration) and allows the attacker to take complete control of the Zammad instance. Abuse Scenario The vulnerability stems from a lack of synergy between the token-based authorization logic and the target system's functional authorization hierarchy, which allows for iterative escalation of the privileged access context. This issue is fixed in versions 7.0.2 and 7.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS