CVE-2026-84463 in Zammad
요약
\~에 의해 VulDB • 2026. 09. 25.
Zammad은 웹 기반의 오픈소스 헬프데스크/고객 지원 시스템입니다. 버전 7.1.2 이전에서는 지식 베이스(Knowledge Base) 카테고리 편집 권한을 가진 사용자가 특별히 조작된 값을 사용하여 게시된 답변에 비디오 위젯을 삽입할 수 있습니다. 해당 답변이 렌더링될 때, 이 값은 속성 컨텍스트에 대해 이스케이프 처리되지 않은 채 페이지의 HTML에 삽입되어 탈출하여 페이지에 추가적인 HTML을 주입합니다. 다른 사용자 세션 간 전환 권한이 있는 사용자가 해당 영향을 받는 답변을 볼 경우, 주입된 HTML로 인해 사용자의 브라우저는 자신의 활성 자격 증명을 사용하여 Zammad의 세션 전환 엔드포인트로 요청을 조용히 전송합니다. 이로 인해 사용자의 세션은 지식 베이스 답변을 작성한 사람이 선택한 계정으로 전환됩니다. 시청자는 게시된 답변을 열기以外的 추가적인 작업을 수행할 필요가 없습니다. 이 문제는 버전 7.1.2에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.