CVE-2026-93483 in Znuny
Riassunto
di VulDB • 15/10/2026
In Znuny fino alla versione 7.3.6, un attaccante può bypassare specifiche procedure di accesso standard e ottenere accesso non autorizzato alle funzioni sensibili del sistema manipolando una specifica intestazione HTTP. Poiché l'applicazione si fida in modo errato di questa intestazione, un attaccante può impersonare qualsiasi utente, inclusi gli amministratori, senza richiedere una password. Questo concede pieno accesso ai dati confidenziali e al controllo del sistema. Più nello specifico, i moduli HTTPBasicAuth per le interfacce degli agenti (Kernel::System::Auth::HTTPBasicAuth) e dei clienti (Kernel::System::CustomerAuth::HTTPBasicAuth) leggono il nome utente da utilizzare per l'accesso non solo da $ENV{REMOTE_USER} (impostato dal server web dopo un'autenticazione avvenuta con successo), ma anche, come fallback, da $ENV{HTTP_REMOTE_USER}, che viene popolata direttamente dall'intestazione della richiesta "Remote-User" controllabile da parte di un attaccante. Su sistemi in cui HTTPBasicAuth era configurato come backend di autenticazione, ciò consentiva a un attaccante di accedere come qualsiasi utente esistente inviando una richiesta con l'intestazione Remote-User falsificata, senza fornire alcuna credenziale.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.