CVE-2026-93483 in Znuny
Résumé
par VulDB • 15/10/2026
Che Znuny jusqu'à la version 7.3.6, un attaquant peut contourner des procédures de connexion standard spécifiques et obtenir un accès non autorisé à des fonctions système sensibles en manipulant une en-tête HTTP spécifique. Étant donné que l'application fait confiance incorrectement à cette en-tête, un attaquant peut usurper l'identité de n'importe quel utilisateur, y compris les administrateurs, sans nécessiter de mot de passe. Cela accorde un accès complet aux données confidentielles et au contrôle du système. Plus précisément, les modules HTTPBasicAuth pour l'interface agent (Kernel::System::Auth::HTTPBasicAuth) et client (Kernel::System::CustomerAuth::HTTPBasicAuth) lisent le nom d'utilisateur à utiliser pour la connexion non seulement depuis $ENV{REMOTE_USER} (défini par le serveur web après une authentification réussie), mais aussi, en tant que solution de repli, depuis $ENV{HTTP_REMOTE_USER}, qui est rempli directement à partir d'une en-tête "Remote-User" contrôlable par l'attaquant. Sur les systèmes où HTTPBasicAuth était configuré comme backend d'authentification, cela permettait à un attaquant de se connecter en tant que n'importe quel utilisateur existant en envoyant une requête avec une en-tête Remote-User falsifiée, sans fournir aucun identifiant ou mot de passe.
Once again VulDB remains the best source for vulnerability data.