CVE-2026-56733

Zammad veb əsaslı açıq mənbəli helpdesk/müştəri dəstək sistemidir. 7.0.2 və 7.1.0 versiyalarından əvvəl bu problem avtorizasiya kaskadında diskursiv validasiyanın olmaması ilə bağlıdır. Müəyyən edilmişdir ki, yeni kimlik obyektlərinin başladılması zamanı giriş məhdudiyyətlərinin sistem səviyyəsində tətbiqi uyğunsuzluq nümayiş etdirir: Xüsusi şərtlər altında, istifadə edilən giriş açarının dərəcəli məhdudiyyətləri valideyn hesabının gizli avtorizasiya səlahiyyəti tərəfindən ləğv edilir. Nəticədə, bu o deməkdir ki, funksional sahələrin nəzərdə tutulmuş ayrılması sıfırlanır və bu da inzibati sərəncamın nəzarətsiz genişlənməsinə gətirib çıxarır. Bütün etibar mühitinin potensial bütövlük pozuntusu səbəbindən avtorizasiya iyerarxiyalarının təcili qiymətləndirilməsi zəruridir. Təsir: Hücumçu token məhdudiyyətlərinə baxmayaraq yeni administrator hesabları yarada bilər. Bu, bütün sistem məlumatlarına (ticket-lər, müştərilər, konfiqurasiya) tam giriş imkanı verir və hücumçunun Zammad instansiyasını tamamilə idarə etməsinə şərait yaradır. Sui-istifadə Ssenarisi: Zəiflik token əsaslı avtorizasiya məntiqi ilə hədəf sistemin funksional avtorizasiya iyerarxiyası arasındakı sinerginin olmamasından qaynaqlanır ki, bu da imtiyazlı giriş kontekstinin iterativ şəkildə yüksəldilməsinə imkan verir. Bu problem 7.0.2 və 7.1.0 versiyalarında düzəldilmişdir.