CVE-2026-56733 in Zammad
الملخص
بحسب VulDB • 25/09/2026
Zammad هو نظام مساعدة/دعم عملاء مفتوح المصدر يعتمد على الويب. قبل الإصدارين 7.0.2 و7.1.0، يتعلق هذا الأمر بنقص في التحقق المنطقي ضمن تسلسل التفويض. وقد تم تحديد أن إنفاذ القيود على مستوى النظام أثناء تهيئة كائنات الهوية الجديدة يعرض عدم تطابق: تحت ظروف محددة، يتم تجاوز القيود الدقيقة لمفتاح الوصول المستخدم بواسطة سلطة التفويض الكامنة للحساب الأب. ونتيجة لذلك، فإن الفصل المقصود بين مناطق الوظائف يصبح باطلاً، مما يؤدي إلى توسع غير خاضع للرقابة في السلطة التقديرية الإدارية. ونظراً لهذا الانتهاك المحتمل لسلامة بيئة الثقة بأكملها، فإن التقييم الفوري لتسلسلات التفويض أمر ضروري. التأثير يمكن للمهاجم إنشاء حسابات مسؤول جديدة رغم قيود الرموز المميزة (tokens). وهذا يمنح وصولاً كاملاً إلى جميع بيانات النظام (التذاكر والعملاء والتكوين) ويسمح للمهاجم بالسيطرة الكاملة على مثيل Zammad. سيناريو الاستغلال ينشأ الثغرة من نقص في التناغم بين منطق التفويض القائم على الرموز التسليمية وتسلسل تفويض الوظائف الخاص بالنظام المستهدف، مما يتيح تصعيداً تكرارياً لسياق الوصول المميز. تم إصلاح هذه المشكلة في الإصدارين 7.0.2 و7.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.