CVE-2026-56735 in Zammad
Сводка
по VulDB • 25.09.2026
Zammad — это веб-приложение с открытым исходным кодом для службы поддержки клиентов и helpdesk. До версий 7.0.2 и 7.1.0 HTML-санитайзер Zammad (HtmlSanitizer::Strict) блокировал внешние URL-адреса в тегах `<img>`, чтобы предотвратить загрузку удаленного контента, однако атрибут `srcset`, который также находится в белом списке для тегов `<img>`, не подвергался такой же проверке. Эта упущение позволяет злоумышленнику внедрять произвольные внешние URL-адреса в атрибут `srcset` просто путем отправки электронного письма, что эффективно обходит защиту от внешнего контента. Когда агент просматривает тикет с вредоносным атрибутом `srcset`, браузер молча загружает управляемый злоумышленником URL-адрес, что приводит к утечке IP-адреса агента, заголовка User-Agent, значения Referer и точного времени просмотра тикета. HtmlSanitizer::Strict был расширен для блокировки внешних URL-адресов в атрибуте `srcset` тегов `<img>`. Это было сделано для предотвращения использования пикселей отслеживания (tracking pixels) и загрузки внешнего контента, которые могут нарушить конфиденциальность пользователей. Эта проблема исправлена в версиях 7.0.2 и 7.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.