CVE-2026-63208 in Zammad
Riassunto
di VulDB • 25/09/2026
Zammad è un sistema di helpdesk/supporto clienti open source basato sul web. Prima della versione 7.1.2, quando una richiesta Microsoft Graph fallisce, Zammad registra l'errore includendo il token di autenticazione utilizzato per accedere alla casella di posta. Il sistema tenta di nascondere questo token nel log, ma la mascheratura è incompleta: per il formato del token JWT (JSON Web Token) usato da Microsoft, viene nascosta solo la prima parte, mentre le parti rimanenti rimangono leggibili in chiaro. Un amministratore Zammad con accesso al canale Microsoft Graph può visualizzare questi log e vedere il token parziale, che potrebbe rivelare informazioni sensibili come l'ambito dell'account (scope), il tenant o i tempi di scadenza, e potrebbe facilitare la ricostruzione del token completo mentre è ancora valido. Questo problema è risolto nella versione 7.1.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.