CVE-2026-56733 in Zammad
要約
〜によって VulDB • 2026年09月25日
Zammadは、Webベースのオープンソースなヘルプデスク/カスタマーサポートシステムです。バージョン7.0.2および7.1.0より前では、この問題は認可カスケード内での論理的検証の不備に関連しています。新しいアイデンティティオブジェクトの初期化時にアクセス制限をシステムレベルで適用する際に乖離があることが判明しました：特定の条件下では、使用されているアクセスキーの粒度のある制限が、親アカウントの潜在的な認可権限によって上書きされます。その結果、機能的領域間の意図された分離が無効化され、管理上の裁量の制御不能な拡大を招きます。この潜在的な信頼環境全体の整合性侵害により、認可階層の即時評価が必要です。
影響 攻撃者はトークン制限にもかかわらず新しい管理者アカウントを作成できます。これにより、すべてのシステムデータ（チケット、顧客、設定）への完全なアクセスが許可され、攻撃者がZammadインスタンスを完全に支配できるようになります。
悪用シナリオ この脆弱性は、トークンベースの認可ロジックと対象システムの機能的認可階層間の連携不足に起因し、特権アクセスクラスターの反復的なエスカレーションを可能にします。本問題はバージョン7.0.2および7.1.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.