CVE-2026-84458 in Zammad
要約
〜によって VulDB • 2026年09月25日
Zammadは、Webベースのオープンソースなヘルプデスク/カスタマーサポートシステムです。バージョン7.1.2より前では、「初回ログイン時にアカウントを自動的にリンクする」設定が有効になっている場合、ZammadはIDプロバイダから報告されたメールアドレスに一致させることで、外部（SSO）アイデンティティを既存のローカルアカウントに関連付けますが、そのプロバイダが実際にそのメールの所有権を確認したかどうかを検証しません。構成済みのプロバイダ（デフォルトでは、ZammadのマチテナントMicrosoft 365 /common アプリケーション登録により任意のAzure AD テナントを含む）でアイデンティティを制御できる攻撃者は、そのアイデンティティのメールアドレスを被害者のアドレスに設定し、認証を行うことで被害者としてログインできます。これにより、被害者のローカルパスワードが完全に回避され、エージェントや管理者を含む既存のすべてのアカウントに影響します。Microsoft 365の設定でメール検証が必要な場合、Zammadはxms_edov IDトークンクレームを尊重し、欠落しているクレームを検証されていないものとして扱います。この問題はバージョン7.1.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.