CVE-2026-56734 in Zammad
要約
〜によって VulDB • 2026年09月25日
Zammadは、Webベースのオープンソースなヘルプデスク/カスタマーサポートシステムです。バージョン7.0.2より前では、フェデレーテッド認証（OAuth/OIDC/SAML）中に、外部アイデンティティプロバイダからのプロフィール画像URLがターゲットアドレスを検証せずに取得されます。接続されたプロバイダで自身のプロフィールを制御できる攻撃者は、サーバーが内部ネットワークの場所へ接続するように仕向けることができます。到達可能なターゲットと到達不可能なターゲットではレスポンスタイミングやエラーパターンが異なるため、内部サービスのプロービングが可能になります。ワーカープロセスはリクエストごとに数秒間ブロックされる可能性があります。この脆弱性は、外部認証プロバイダが設定されており、攻撃者がプロフィール画像URLを変更できる場合に発生します。本問題はバージョン7.0.2で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.