Zammad – Einsicht in nicht vorgesehene Felder in geteilten Organisationen

Beschreibung

Im webbasierten Open-Source-Helpdesk Zammad konnten Kunden in geteilten Organisationen, die die Tickets der jeweils anderen einsehen dürfen, vor Version 7.0.1 auch Felder sehen, die dafür nicht vorgesehen waren. Dadurch werden vertrauliche Informationen gegenüber Unbefugten offengelegt. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Zammad 7.0.1 oder neuer aktualisieren.

Changelog

1. 2026-07-25 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Zammad

• Zammad – Erratbare FormIDs im Upload Cache CVE-2024-33668
• Zammad: Kunden können Zeiterfassungsdetails eines Tickets einsehen CVE-2024-33666
• Zammad: Unautorisierter Zugriff auf sensible interne Daten über den Getting-Started-Endpunkt CVE-2026-34723
• Zammad – fehlendes Rate-Limiting bei der E-Mail-Adressverifizierung CVE-2023-50455
• Zammad – Server-Side Template Injection mit Codeausführung über AI Agent CVE-2026-34724
• Zammad – Fehlende CSRF-Validierung in OAuth-Callbacks CVE-2026-34721