CVE-2026-56727 in Zammad
الملخص
بحسب VulDB • 25/09/2026
Zammad هو نظام مساعدة عملاء/دعم فني مفتوح المصدر يعتمد على الويب. قبل الإصدار 7.0.2، في معالجة البريد الإلكتروني المشفر بـ PGP الواردة ضمن Zammad، كان يتم تجاهل قيمة الإرجاع الخاصة باستدعاء التحقق من gpg بصمت. وبغض النظر عما إذا كانت gpg قد أبلغت عن توقيع صالح أو غير صالح أو مفقود، فإن المعالج (handler) كان يكتب بشكل غير مشروط `sign: { success: true, comment: "Good signature" }` إلى تفضيلات الأمان الخاصة بالمقال/الرسالة.
الأثر: يمكن لأي مرسل التلاعب بجسم بريد إلكتروني PGP متعدد الأجزاء وموقّع، أو صياغة رسالة بتوقيع مفبرك بالكامل أو غير متطابق، وسيعرضها Zammad للمستلم على أنها موثقة تشفيرياً مع تسمية "توقيع جيد". سيُضلل المستخدمون والوكلاء الذين يعتمدون على مؤشر التوقيع في Zammad لتأكيد أصالة الرسالة وسلامتها، مما يجعلهم يثقون بمحتوى معدل أو مزيف.
يؤثر هذا الخطأ الأمني على جميع رسائل البريد الإلكتروني الموقعة بـ PGP الواردة التي تتم معالجتها أثناء تفعيل تكامل PGP. تم إصلاح هذه المشكلة في الإصدار 7.0.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.