CVE-2026-63206
Açıklama
Zammad, web tabanlı açık kaynaklı bir yardım masası/müşteri destek sistemidir. 7.1.2 sürümünden önce, bilet makalelerinde ve e-posta görünümlerinde uzak resimleri engelleyen Zammad HTML temizleyicisi, şemadan sonraki çift eğik çizginin atlandığı kısaltılmış bir URL formatı kullanılarak (örneğin, kısaltılmış bir HTTP URL'si yerine kısaltılmış bir HTTP URL'si) atlatılabilir. Modern tarayıcılar her iki formu da eşdeğer uzak URL'ler olarak değerlendirir. Sonuç olarak, özel olarak hazırlanmış bir e-posta veya bilet gönderen bir saldırgan, alıcının tarayıcısının harici bir sunucudan sessizce bir resim yüklemesine neden olarak biletin ne zaman ve kim tarafından açıldığının ortaya çıkmasına yol açabilir. Temizleyici, kısaltılmış formu uzak içerik olarak tanımadığı için Zammad'ın "uzak içerik engellendi" uyarısı gösterilmez. Bu sorun 7.1.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zammad zammad | < 7.1.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.