Zammad: Mehrere Schwachstellen
WID-SEC-2026-3753 · primera publicación 06.10.2026 · actualizado 06.10.2026 · CVSS 9,1
De qué se trata
Zammad ist ein Helpdesk- und Ticketsystem. Ein Angreifer kann mehrere Schwachstellen in Zammad ausnutzen, um seine Privilegien zu erhöhen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren oder offenzulegen sowie Cross-Site-Scripting-Angriffe durchzuführen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- seine Privilegien zu erhöhen
- beliebigen Code auszuführen
- Sicherheitsmaßnahmen zu umgehen
- Daten zu manipulieren oder offenzulegen sowie Cross-Site-Scripting-Angriffe durchzuführen
¿Me afecta?
Afectados según el BSI:
- Zammad Zammad <7.2.1
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Zammad Zammad 7.2.1
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Zammad Release Notes vom 2026-10-05 zammad.com
- GitHub Security Advisory GHSA-23hj-h8w6-rgm3 vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-32f8-x62f-599m vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-4r9g-r4wx-44p6 vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-5qm6-wgv7-2344 vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-7622-vcx5-885g vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-79wh-8g2f-xj2c vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-852x-r9wm-4v5j vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-87pp-7pxh-xfcg vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-8rr9-v56q-rcq9 vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-8xp6-vq6v-xrfj vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-f3qr-94c2-7mx2 vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-f8x4-5mjf-mc32 vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-fhq9-h46w-68hg vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-fqh9-pvgg-jgpw vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-g9f6-7w7h-99f7 vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-gvvq-mfj3-g56x vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-h5pm-rjvp-fr47 vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-hpwv-2cr4-rqpf vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-hrpc-pjjc-v9vg vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-jhhg-q69j-35wq vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-jr3g-8mch-9vrf vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-mf8g-36j9-x25g vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-qvmq-j8hm-2mmc vom 2026-10-05 github.com
- GitHub Security Advisory GHSA-r4xq-6xg5-72p7 vom 2026-10-05 github.com
y 3 fuentes más en el aviso original
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.