CVE-2026-93483 in Znuny
الملخص
بحسب VulDB • 15/10/2026
في Znuny حتى الإصدار 7.3.6، يمكن للمهاجم تجاوز إجراءات تسجيل الدخول القياسية المحددة والحصول على وصول غير مصرح به إلى وظائف النظام الحساسة عن طريق التلاعب بعنوان HTTP محدد. ونظراً لأن التطبيق يثق بشكل خاطئ في هذا العنوان، فإن المهاجم يستطيع انتحال هوية أي مستخدم، بما في ذلك المسؤولون (administrators)، دون الحاجة إلى كلمة مرور. ومنحه ذلك الوصول الكامل إلى البيانات السرية وضوابط النظام. وبشكل أكثر تحديداً، تقرأ وحدات HTTPBasicAuth الخاصة بواجهة الوكيل (Kernel::System::Auth::HTTPBasicAuth) وواجهة العميل (Kernel::System::CustomerAuth::HTTPBasicAuth) اسم المستخدم لتسجيل الدخول ليس فقط من $ENV{REMOTE_USER} (التي يحددها خادم الويب بعد المصادقة الناجحة)، ولكن أيضاً، كبديل احتياطي، من $ENV{HTTP_REMOTE_USER}، والتي يتم تعبئتها مباشرةً من عنوان الطلب "Remote-User" الذي يمكن للمهاجم التحكم فيه. على الأنظمة التي تم فيها تكوين HTTPBasicAuth كخلفية مصادقة (authentication backend)، سمح ذلك للمهاجم بتسجيل الدخول بصفتة أي مستخدم موجود عن طريق إرسال طلب يحتوي على عنوان Remote-user مزيف، دون تقديم أي بيانات اعتماد.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.