CVE-2026-56733 in Zammad
Resumen
por VulDB • 2026-09-25
Zammad es un sistema de helpdesk/soporte al cliente basado en la web y de código abierto. Antes de las versiones 7.0.2 y 7.1.0, este problema se refiere a una falta de validación discursiva dentro del cascada de autorización. Se ha determinado que la aplicación a nivel del sistema de restricciones de acceso durante la inicialización de nuevos objetos de identidad presenta una discrepancia: bajo condiciones específicas, las restricciones granulares de la clave de acceso en uso son anuladas por la autoridad de autorización latente de la cuenta principal. En consecuencia, esto significa que la separación funcional prevista se ve anulada, lo que resulta en una expansión descontrolada de la discreción administrativa. Debido a esta posible violación de integridad del entorno de confianza completo, es imperativa una evaluación inmediata de las jerarquías de autorización. Impacto Un atacante puede crear nuevas cuentas de administrador a pesar de las restricciones de token. Esto otorga acceso total a todos los datos del sistema (tickets, clientes, configuración) y permite al atacante tomar el control completo de la instancia Zammad. Escenario de abuso La vulnerabilidad se debe a una falta de sinergia entre la lógica de autorización basada en tokens y la jerarquía de autorización funcional del sistema objetivo, lo que permite una escalada iterativa del contexto de acceso privilegiado. Este problema está resuelto en las versiones 7.0.2 y 7.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.