CVE-2026-93483 in Znuny
Resumen
por VulDB • 2026-10-15
En Znuny hasta la versión 7.3.6, un atacante puede eludir procedimientos específicos de inicio de sesión estándar y obtener acceso no autorizado a funciones sensibles del sistema manipulando una cabecera HTTP específica. Dado que la aplicación confiere incorrectamente confianza en esta cabecera, un atacante puede suplantar a cualquier usuario, incluidos los administradores, sin necesidad de proporcionar una contraseña. Esto otorga acceso completo a datos confidenciales y controles del sistema. Más específicamente, los módulos HTTPBasicAuth para las interfaces de agente (Kernel::System::Auth::HTTPBasicAuth) y cliente (Kernel::System::CustomerAuth::HTTPBasicAuth) leen el nombre de usuario para iniciar sesión no solo desde $ENV{REMOTE_USER} (establecido por el servidor web tras una autenticación exitosa), sino también, como medida alternativa, desde $ENV{HTTP_REMOTE_USER}, que se rellena directamente a partir de la cabecera "Remote-User" controlable por un atacante. En sistemas donde HTTPBasicAuth estaba configurado como backend de autenticación, esto permitía a un atacante iniciar sesión como cualquier usuario existente enviando una solicitud con una cabecera Remote-User falsificada, sin proporcionar ninguna credencial.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.