CVE-2026-84458 in Zammad
Riassunto
di VulDB • 25/09/2026
Zammad è un sistema open source di helpdesk/supporto clienti basato sul web. Prima della versione 7.1.2, quando l'impostazione "Collegamento automatico dell'account al primo accesso" (Automatic account link on initial logon) è abilitata, Zammad associa un'identità third-party in arrivo (SSO) a un account locale esistente corrispondendo all'indirizzo email riportato dal provider di identità, senza verificare che il provider abbia effettivamente confermato la proprietà di tale indirizzo. Un attaccante che controlla qualsiasi identità presso un provider configurato, inclusi, per impostazione predefinita, tutti i tenant Azure AD tramite la registrazione dell'app multi-tenant Microsoft 365 /common di Zammad, può impostare l'email di quell'identità sull'indirizzo della vittima, autenticarsi ed effettuare il login come la vittima. Questo bypassa completamente la password locale della vittima e interessa qualsiasi account esistente, inclusi agenti e amministratori. Zammad riconosce la claim del token ID xms_edov quando è richiesta la verifica dell'email nelle impostazioni di Microsoft 365, trattando un'assenza della claim come non verificata. Questo problema è risolto nella versione 7.1.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.