CVE-2026-84461

Zammad to internetowy system helpdesk typu open source. W wersjach przed 7.1.2, podczas sprawdzania podpisu cyfrowego przychodzącego e-maila podpisanego S/MIME, Zammad nie weryfikuje, czy certyfikat podpisujący jest rzeczywiście zaufany — sprawdza jedynie, czy certyfikat o pasującej nazwie jest już przechowywany w systemie. Atakujący może utworzyć własny certyfikat z nazwą prawdziwego, wcześniej zaufanego nadawcy i wysłać sfałszowany e-mail, który zostanie wyświetlony z oznaczeniem „prawidłowo podpisany”. Problem naprawiono w wersji 7.1.2.

Zammad to internetowy system helpdesk typu open source. W wersjach przed 7.1.2 funkcja External Data Source, używana do wyszukiwania rekordów w systemie zewnętrznym, nie weryfikowała odpowiednio, czy użytkownik ma prawo widzieć konkretny ticket, użytkownika, grupę lub organizację, zanim uwzględniła ich szczegóły w żądaniu do systemu zewnętrznego. Uwierzytelniony użytkownik, nawet z podstawowym dostępem klienta, mógł to wykorzystać, odwołując się do identyfikatora innego rekordu, i w ten sposób wyświetlić szczegóły ticketów, kont klientów, zespołów lub organizacji, które do niego nie należały. Problem naprawiono w wersji 7.1.2.

W Zammad przed wersją 7.1.2 użytkownik z prawem edycji bazy wiedzy może osadzić widget wideo ze specjalnie spreparowaną wartością, która nie jest escapowana w kontekście atrybutu HTML. Gdy inny użytkownik z uprawnieniem przełączania sesji otworzy taką odpowiedź, jego przeglądarka wysyła żądanie do endpointu przełączania sesji Zammad z jego własnymi poświadczeniami, co powoduje przełączenie go na konto wybrane przez autora odpowiedzi.

W Zammad przed wersją 7.1.2 każdy uwierzytelniony użytkownik może wywołać endpoint REST pobierania listy tagów i otrzymać nazwy tagów dla dowolnego zgłoszenia, niezależnie od posiadanych uprawnień. Ponieważ identyfikatory zgłoszeń są kolejnymi liczbami, możliwe jest masowe wyliczanie danych.

W Zammad przed wersją 7.1.2 nieoczyszczone etykiety opcji są renderowane w oknach konfiguracji agentów AI w panelu administracyjnym. Etykieta opcji jest wstawiana jako surowy HTML bez escapowania, co pozwala atakującemu kontrolującemu etykietę wstrzyknąć dowolny HTML i JavaScript.

W Zammad przed wersją 7.1.2, gdy żądanie Microsoft Graph kończy się błędem, system zapisuje w logach błąd wraz z tokenem uwierzytelniającym. Maskowanie tokenu jest niekompletne — dla formatu JWT ukrywana jest tylko pierwsza część, a pozostałe pozostają czytelne w postaci jawnej.

W Zammad w wersjach 7.0.3 i 7.1.1 uwierzytelniony administrator może uzyskać zapisane poświadczenia integracji w postaci jawnej przez API administracji integracjami. Niektóre odpowiedzi nie maskują spójnie pól wrażliwych, więc skonfigurowane sekrety mogą być zwracane jawnie zamiast jako zamaskowany placeholder.

W Zammad przed wersją 7.1.2 sanitizer HTML blokujący zdalne obrazy w artykułach i widokach e-mail można obejść, używając skróconego formatu URL bez podwójnego ukośnika po schemacie. Nowoczesne przeglądarki traktują oba formaty jako równoważne, więc spreparowany e-mail lub zgłoszenie może spowodować ciche załadowanie obrazu z zewnętrznego serwera.

W Zammad przed wersją 7.1.2 podczas tworzenia lub aktualizacji podpisu e-mail system przetwarza obrazy inline wskazane w treści podpisu. Jeśli treść zawiera znacznik img wskazujący na istniejący załącznik, system kopiuje go do nowego rekordu należącego do podpisu bez sprawdzenia uprawnień użytkownika do oryginalnego załącznika.

W systemie Zammad przed wersją 7.1.2 uwierzytelniony użytkownik z uprawnieniami agenta może podać dowolny identyfikator uruchomienia analizy AI do punktu końcowego podsumowania zgłoszenia i otrzymać komunikat błędu dostawcy AI zapisany dla tego uruchomienia, nawet jeśli uruchomienie należy do zgłoszenia, do którego agent nie ma dostępu. Ujawnienie ogranicza się do ciągu błędu dostawcy; treść zgłoszenia nie jest ujawniana. Problem naprawiono w wersji 7.1.2.