CVE-2026-63208 in Zammad
Sumário
de VulDB • 25/09/2026
O Zammad é um sistema de helpdesk/assistência ao cliente baseado na web e de código aberto. Antes da versão 7.1.2, quando uma solicitação do Microsoft Graph falha, o Zammad registra o erro incluindo o token de autenticação usado para acessar a caixa de correio. O sistema tenta ocultar esse token no log, mas a mascaramento é incompleto: para o formato JWT utilizado pela Microsoft, apenas a primeira parte é oculta, enquanto as partes restantes permanecem legíveis em texto puro. Um administrador do Zammad com acesso ao canal do Microsoft Graph pode visualizar esses logs e ver o token parcial, que pode revelar informações confidenciais como escopo da conta, tenant ou cronometragem, podendo auxiliar na reconstrução do token completo enquanto ele ainda estiver válido. Este problema foi corrigido na versão 7.1.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.