CVE-2026-56733
Açıklama
Zammad, web tabanlı açık kaynaklı bir yardım masası/müşteri destek sistemidir. 7.0.2 ve 7.1.0 sürümlerinden önce mevcut olan bu sorun, yetkilendirme basamaklarındaki tartışmalı doğrulamanın eksikliğinden kaynaklanmaktadır. Yeni kimlik nesnelerinin başlatılması sırasında erişim kısıtlamalarının sistem düzeyindeki uygulanmasında bir tutarsızlık olduğu belirlenmiştir: Belirli koşullar altında, kullanılan erişim anahtarının ayrıntılı kısıtlamaları, üst hesabın gizli yetkilendirme otoritesi tarafından geçersiz kılınmaktadır. Sonuç olarak, işlevsel alanların amaçlanan ayrımı ortadan kalkmakta ve bu durum idari takdir yetkisinin kontrolsüz bir şekilde genişlemesine yol açmaktadır. Tüm güven ortamının potansiyel bütünlük ihlali nedeniyle, yetkilendirme hiyerarşilerinin derhal değerlendirilmesi zorunludur. Etki: Bir saldırgan, token kısıtlamalarına rağmen yeni yönetici hesapları oluşturabilir. Bu durum tüm sistem verilerine (ticket'lar, müşteriler, yapılandırma) tam erişim sağlar ve saldırganın Zammad örneğinin tamamen kontrolünü ele geçirmesine olanak tanır. İstismar Senaryosu: Güvenlik açığı, token tabanlı yetkilendirme mantığı ile hedef sistemin işlevsel yetkilendirme hiyerarşisi arasındaki sinerji eksikliğinden kaynaklanmakta ve bu da ayrıcalıklı erişim bağlamının yinelemeli olarak yükseltilmesine izin vermektedir. Bu sorun 7.0.2 ve 7.1.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zammad zammad | < 7.0.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.