CVE-2026-63208 in Zammad
Tóm tắt
Bởi VulDB • 25/09/2026
Zammad là một hệ thống helpdesk/hỗ trợ khách hàng mã nguồn mở dựa trên web. Trước phiên bản 7.1.2, khi yêu cầu Microsoft Graph thất bại, Zammad ghi lại lỗi bao gồm cả token xác thực được sử dụng để truy cập hộp thư đến. Hệ thống cố gắng ẩn token này trong nhật ký (log), nhưng việc che giấu không hoàn toàn: đối với định dạng token mà Microsoft sử dụng (JWT), chỉ phần đầu tiên bị ẩn đi, trong khi các phần còn lại vẫn hiển thị dưới dạng văn bản rõ ràng. Một quản trị viên Zammad có quyền truy cập kênh Microsoft Graph có thể xem những nhật ký này và thấy một phần của token, điều này có thể tiết lộ các thông tin nhạy cảm như phạm vi tài khoản (account scope), tenant hoặc thời gian, đồng thời hỗ trợ việc khôi phục lại toàn bộ token trong khi nó vẫn còn hiệu lực. Vấn đề này đã được sửa chữa trong phiên bản 7.1.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.