Zammad: Kunden können Zeiterfassungsdetails eines Tickets einsehen

Beschreibung

In Zammad vor Version 6.3.0 konnten Benutzer mit Kundenzugriff auf ein Ticket über die API auf dessen Zeiterfassungsdetails zugreifen. Diese Daten sollten ausschliesslich Agenten zur Verfügung stehen. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 6.3.0 oder neuer.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Zammad

• Zammad – Erratbare FormIDs im Upload Cache CVE-2024-33668
• Zammad: Unautorisierter Zugriff auf sensible interne Daten über den Getting-Started-Endpunkt CVE-2026-34723
• Zammad – fehlendes Rate-Limiting bei der E-Mail-Adressverifizierung CVE-2023-50455
• Zammad – Server-Side Template Injection mit Codeausführung über AI Agent CVE-2026-34724
• Zammad – Fehlende CSRF-Validierung in OAuth-Callbacks CVE-2026-34721
• Zammad – unzureichende HTML-Bereinigung (data:-URI) in Ticket-Artikeln CVE-2026-34718