FICHE CVE

CVE-2026-34720

Publiée le 2026-04-08 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les installations du helpdesk Zammad utilisant l'authentification unique (SSO) sont concernées si elles ne vérifient pas correctement les en-têtes provenant de leur proxy SSO. Un attaquant disposant d'identifiants d'utilisateur basique pourrait potentiellement usurper ces en-têtes pour obtenir un accès non autorisé ou effectuer des actions au nom d'un autre utilisateur. Cette opération est difficile à exécuter, car elle nécessite un accès au réseau ainsi qu'une configuration spécifique et complexe pour contourner la sécurité prévue du proxy.

CVSS 4.02.3 FAIBLE

Type de faiblesse

Erreur de validation de l'origine · CWE-346

Publiée2026-04-08

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Zammad is a web based open source helpdesk/customer support system. Prior to 7.0.1 and 6.5.4, the SSO mechanism in Zammad was not verifying the header originates from a trusted SSO proxy/gateway before applying further actions on it. This vulnerability is fixed in 7.0.1 and 6.5.4.