PT-2025-15073 · Zammad · Zammad

Publicado 2025-04-05 · Atualizado 2025-04-15 · CVE-2025-32360

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Zammad de 6.4.0 a 6.4.1

Descrição O problema refere-se à exposição de informações, na qual clientes logados podem visualizar detalhes sobre rascunhos de artigos compartilhados relativos aos seus tickets de cliente no console do navegador, podendo conter informações confidenciais. Além disso, os clientes podem manipular esses rascunhos via API. Esta exposição não é intencional, pois apenas os agentes deveriam ter acesso a tais informações.

Recomendações Para as versões do Zammad de 6.4.0 a 6.4.1, atualize para a versão 6.4.2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos endpoints da API relacionados aos rascunhos de artigos compartilhados para prevenir a manipulação por usuários não autorizados.

Correção

Enumeração de Fraquezas

CWE-402

Identificadores relacionados

CVE-2025-32360

Produtos afetados

Zammad

Referências · 7

• https://t.me/cvedetector/22199 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-32360 · Nota de Segurança
• https://zammad.com/en/advisories/zaa-2025-03 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1908663651218972960 · Publicação no Twitter
• https://twitter.com/dailycve/status/1912188610775810436 · Publicação no Twitter
• https://t.me/cvetracker/20901 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-32360 · Aviso do Fabricante