Se publica una prueba de concepto (PoC) para una vulnerabilidad de filtración de sesiones en Zammad que permite la ejecución remota de código

Un PoC público apunta a una falla crítica de Zammad, CVE-2026-102489, que permite a los usuarios remotos no autenticados robar cookies de sesión activas y potencialmente ejecutar código en servidores vulnerables. El problema se asoció con una violación informada en septiembre en el Instituto Holandés para la Divulgación de Vulnerabilidades (DIVD), donde, según los informes, se explotaron dos fallas de zero-day en Zammad para obtener acceso y escalar privilegios.

La falla afecta a las versiones 6.3.0 a 6.5.4 de Zammad y es explotable, mientras que las versiones 7.0.0 a 7.1.3 contienen el mismo problema de código pero carecen de las condiciones ambientales para la explotación, como señaló DIVD. El PoC, publicado por Horizon3.ai, explota una fuga de información de WebSocket que puede conducir al secuestro de sesión y la ejecución remota de código como usuario del sistema operativo Zammad con pocos privilegios. PoC liberado para la falla de fuga de sesión de Zammad Los investigadores descubrieron que enviar una solicitud al punto de conexión/ws con la payload {"event":"base"} podría desencadenar un error de aplicación. Esta amenaza autopropagable puede reemplazar las plantillas de correo electrónico con código ERB dañino, lo que permite la ejecución remota de código bajo la cuenta de servicio Zammad, aunque no como root.

La primera falla, CVE-2026-102489, se refiere al secuestro de sesiones y la ejecución remota de código. La segunda falla, CVE-2026-102490, plantea un riesgo de escalación de privilegios locales que podría permitir al usuario de Zammad lograr el acceso root.

Consultar publicación original ↗