CVE-2026-56733 in Zammad
요약
\~에 의해 VulDB • 2026. 09. 25.
Zammad은 웹 기반 오픈 소스 헬프데스크/고객 지원 시스템입니다. 버전 7.0.2 및 7.1.0 이전에서는 인증 계층 구조 내에서 담론적 검증(discursive validation)의 부재로 인해 문제가 발생했습니다. 새로운 ID 객체 초기화 시 접근 제한이 시스템 수준에서 강제되는 방식에 불일치가 있는 것으로 확인되었습니다. 특정 조건 하에는 사용 중인 액세스 키의 세분화된 제한 사항이 부모 계정(상위 계층)의 잠재적 권한 부여 권위에 의해 재정의됩니다. 이로 인해 기능 영역 간의 의도된 분리가 무효화되어 관리자의 재량권이 통제 없이 확대되는 결과를 초래합니다. 전체 신뢰 환경에 대한 이러한 잠재적인 무결성 침해로 인해 인증 계층 구조를 즉시 평가하는 것이 필수적입니다.
영향 공격자는 토큰 제한에도 불구하고 새로운 관리자 계정을 생성할 수 있습니다. 이를 통해 공격자는 모든 시스템 데이터(티켓, 고객, 구성)에 대한 완전한 접근 권한을 얻으며 Zammad 인스턴스를 완전히 장악할 수 있습니다.
남용 시나리오 이 취약점은 토큰 기반 인증 논리와 대상 시스템의 기능적 인증 계층 간 상호작용 부재에서 비롯되며, 이를 통해 privilegi된 액세스 컨텍스트가 반복적으로 승격됩니다. 이 문제는 버전 7.0.2 및 7.1.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.