CVE-2026-63205

Zammad to internetowy system helpdesk typu open source. W wersjach przed 7.1.2, podczas sprawdzania podpisu cyfrowego przychodzącego e-maila podpisanego S/MIME, Zammad nie weryfikuje, czy certyfikat podpisujący jest rzeczywiście zaufany — sprawdza jedynie, czy certyfikat o pasującej nazwie jest już przechowywany w systemie. Atakujący może utworzyć własny certyfikat z nazwą prawdziwego, wcześniej zaufanego nadawcy i wysłać sfałszowany e-mail, który zostanie wyświetlony z oznaczeniem „prawidłowo podpisany”. Problem naprawiono w wersji 7.1.2.

Zammad to internetowy system helpdesk typu open source. W wersjach przed 7.1.2 funkcja External Data Source, używana do wyszukiwania rekordów w systemie zewnętrznym, nie weryfikowała odpowiednio, czy użytkownik ma prawo widzieć konkretny ticket, użytkownika, grupę lub organizację, zanim uwzględniła ich szczegóły w żądaniu do systemu zewnętrznego. Uwierzytelniony użytkownik, nawet z podstawowym dostępem klienta, mógł to wykorzystać, odwołując się do identyfikatora innego rekordu, i w ten sposób wyświetlić szczegóły ticketów, kont klientów, zespołów lub organizacji, które do niego nie należały. Problem naprawiono w wersji 7.1.2.

W Zammad przed wersją 7.1.2 użytkownik z prawem edycji bazy wiedzy może osadzić widget wideo ze specjalnie spreparowaną wartością, która nie jest escapowana w kontekście atrybutu HTML. Gdy inny użytkownik z uprawnieniem przełączania sesji otworzy taką odpowiedź, jego przeglądarka wysyła żądanie do endpointu przełączania sesji Zammad z jego własnymi poświadczeniami, co powoduje przełączenie go na konto wybrane przez autora odpowiedzi.

W Zammad przed wersją 7.1.2 krok logowania dwuskładnikowego pozwalał atakującemu na nieograniczone próby zgadywania hasła bez wyzwalania blokady konta ani ograniczania tempa. Odpowiedź ujawniała też, czy zgadywane hasło było poprawne, jeszcze przed sprawdzeniem drugiego składnika.

W Zammad przed wersją 7.1.2 każdy uwierzytelniony użytkownik może wywołać endpoint REST pobierania listy tagów i otrzymać nazwy tagów dla dowolnego zgłoszenia, niezależnie od posiadanych uprawnień. Ponieważ identyfikatory zgłoszeń są kolejnymi liczbami, możliwe jest masowe wyliczanie danych.

W Zammad przed wersją 7.1.2 nieoczyszczone etykiety opcji są renderowane w oknach konfiguracji agentów AI w panelu administracyjnym. Etykieta opcji jest wstawiana jako surowy HTML bez escapowania, co pozwala atakującemu kontrolującemu etykietę wstrzyknąć dowolny HTML i JavaScript.

W Zammad przed wersją 7.1.2, gdy żądanie Microsoft Graph kończy się błędem, system zapisuje w logach błąd wraz z tokenem uwierzytelniającym. Maskowanie tokenu jest niekompletne — dla formatu JWT ukrywana jest tylko pierwsza część, a pozostałe pozostają czytelne w postaci jawnej.

W Zammad w wersjach 7.0.3 i 7.1.1 uwierzytelniony administrator może uzyskać zapisane poświadczenia integracji w postaci jawnej przez API administracji integracjami. Niektóre odpowiedzi nie maskują spójnie pól wrażliwych, więc skonfigurowane sekrety mogą być zwracane jawnie zamiast jako zamaskowany placeholder.

W Zammad przed wersją 7.1.2 sanitizer HTML blokujący zdalne obrazy w artykułach i widokach e-mail można obejść, używając skróconego formatu URL bez podwójnego ukośnika po schemacie. Nowoczesne przeglądarki traktują oba formaty jako równoważne, więc spreparowany e-mail lub zgłoszenie może spowodować ciche załadowanie obrazu z zewnętrznego serwera.

W systemie Zammad przed wersją 7.1.2 uwierzytelniony użytkownik z uprawnieniami agenta może podać dowolny identyfikator uruchomienia analizy AI do punktu końcowego podsumowania zgłoszenia i otrzymać komunikat błędu dostawcy AI zapisany dla tego uruchomienia, nawet jeśli uruchomienie należy do zgłoszenia, do którego agent nie ma dostępu. Ujawnienie ogranicza się do ciągu błędu dostawcy; treść zgłoszenia nie jest ujawniana. Problem naprawiono w wersji 7.1.2.