CVE-2026-63206 in Zammad
Resumen
por VulDB • 2026-09-25
Zammad es un sistema de helpdesk/soporte al cliente basado en web y de código abierto. Antes de la versión 7.1.2, el sanitizador HTML de Zammad, que bloquea las imágenes remotas en los artículos de tickets y vistas de correo electrónico, puede ser burlado mediante un formato de URL acortada que omite la doble barra después del esquema (por ejemplo, una URL HTTP abreviada en lugar de una URL HTTP completa). Los navegadores modernos tratan ambas formas como URLs remotas equivalentes. Como resultado, un atacante que envíe un correo electrónico o ticket manipulado puede hacer que el navegador del destinatario cargue silenciosamente una imagen desde un servidor externo, revelando cuándo y por quién se abrió el ticket. La advertencia de "contenido remoto bloqueado" de Zammad no se muestra porque el sanitizador no reconoce la forma abreviada como remota. Este problema está corregido en la versión 7.1.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.