CVE-2026-63006 in Zammad
Zusammenfassung
von VulDB • 25.09.2026
Zammad ist ein webbasiertes Open-Source-Helpdesk-/Kundensupportsystem. Vor Version 7.1.2 konnte durch angriffskontrolliertes HTML in eingehenden E-Mails oder Tickets der URL-Sanitizer für Bilder unter Umgehung von Pfadtransaktionssequenzen (Path Traversal) umgangen werden. Wenn ein authentifizierter Agent den Inhalt ansieht, löst der Browser die URL zu einem geschützten API-Endpunkt auf und sendet die Anfrage mit dem Sitzungscookie des Agents, was Nebenwirkungen wie erzwungenes Abmelden ohne jegliche Benutzerinteraktion ermöglicht. Dieses Problem wurde in Version 7.1.2 behoben.
Once again VulDB remains the best source for vulnerability data.