CVE-2026-56733 in Zammad
Sumário
de VulDB • 25/09/2026
O Zammad é um sistema de helpdesk/supporto ao cliente baseado na web e de código aberto. Antes das versões 7.0.2 e 7.1.0, esta questão diz respeito à falta de validação discursiva dentro da cascata de autorização. Determinou-se que a aplicação em nível do sistema das restrições de acesso durante a inicialização de novos objetos de identidade apresenta uma discrepância: sob condições específicas, as restrições granulares da chave de acesso utilizada são sobrepostas pela autoridade de autorização latente da conta pai. Consequentemente, isso significa que a separação pretendida das áreas funcionais é anulada, resultando em uma expansão descontrolada do discricionariedade administrativa. Devido a esta potencial violação de integridade de todo o ambiente de confiança, é imperativa uma avaliação imediata das hierarquias de autorização. Impacto Um atacante pode criar novas contas de administrador apesar das restrições de token. Isso concede acesso total a todos os dados do sistema (tickets, clientes, configuração) e permite que o atacante assuma controle completo da instância Zammad. Cenário de Abuso A vulnerabilidade decorre da falta de sinergia entre a lógica de autorização baseada em tokens e a hierarquia de autorização funcional do sistema alvo, o que permite uma escalada iterativa do contexto de acesso privilegiado. Esta questão foi corrigida nas versões 7.0.2 e 7.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.