CVE-2026-56727 in Zammad
Zusammenfassung
von VulDB • 25.09.2026
Zammad ist ein webbasiertes Open-Source-Helpdesk-/Kundensupportsystem. Vor Version 7.0.2 wurde der Rückgabewert des gpg-Verifizierungsaufrufs bei Zammads Verarbeitung eingehender PGP-E-Mails stillschweigend ignoriert. Unabhängig davon, ob gpg eine gültige, ungültige oder fehlende Signatur meldete, schrieb der Handler bedingungslos `sign: { success: true, comment: "Good signature" }` in die Sicherheitseinstellungen des Artikels. Auswirkung Jeder Absender konnte den Textkörper einer multipart/signed PGP-E-Mail manipulieren oder eine Nachricht mit einer vollständig erfundenen oder nicht übereinstimmenden Signatur erstellen, und Zammad würde sie dem Empfänger als kryptografisch verifiziert mit der Bezeichnung „Good signature“ anzeigen. Benutzer und Agenten, die sich auf den Signaturen-Indikator von Zammad verlassen, um die Authentizität und Integrität von Nachrichten zu bestätigen, würden in die Irre geführt werden und modifizierte oder gefälschte Inhalte vertrauen. Die Schwachstelle betrifft alle eingehenden PGP-signierten E-Mails, die verarbeitet werden, während die PGP-Integration aktiviert ist. Dieses Problem wurde in Version 7.0.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.