CVE-2026-93483

Znuny versiya 7.3.6 daxil olmaqla, hücumçu xüsusi bir HTTP sorğu başlığını manipulyasiya etməklə müəyyən standart giriş prosedurlarını yan keçə və həssas sistem funksiyalarına icazəsiz giriş əldə edə bilər. Tətbiqin bu başlığa yanlış şəkildə etibar etməsi səbəbindən, hücumçu parol tələb olunmadan administratorlar da daxil olmaqla istənilən istifadəçini təqlid edə bilər. Bu, konfidensial məlumatlara və sistem idarəetməsinə tam giriş imkanı verir. Daha dəqiq desək, agent (Kernel::System::Auth::HTTPBasicAuth) və müştəri (Kernel::System::CustomerAuth::HTTPBasicAuth) interfeysləri üçün HTTPBasicAuth modulları giriş üçün istifadəçi adını yalnız $ENV{REMOTE_USER} (uğurlu autentifikasiyadan sonra veb server tərəfindən təyin edilir) dəyişənindən deyil, həmçinin ehtiyat variant kimi, birbaşa hücumçu tərəfindən idarə olunan "Remote-User" sorğu başlığından doldurulan $ENV{HTTP_REMOTE_USER} dəyişənindən oxuyur. HTTPBasicAuth autentifikasiya backend-i kimi konfiqurasiya edilmiş sistemlərdə bu, hücumçuya heç bir etibarlılıq məlumatı təqdim etmədən, saxtalaşdırılmış Remote-User başlığı ilə sorğu göndərməklə mövcud olan istənilən istifadəçi kimi daxil olmağa imkan verirdi.