در سیستم پشتیبانی و Helpdesk متن‌باز Zammad، یک آسیب‌پذیری امنیتی شناسایی شده است که به مهاجمان اجازه می‌دهد ایمیل‌های جعلی را به گونه‌ای ارسال کنند که توسط سیستم به عنوان پیام‌های مورد اعتماد شناسایی شوند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-84465 ثبت شده است، مربوط به نحوه اعتبارسنجی امضاهای دیجیتال S/MIME در نسخه‌های پیش از 7.1.2 است. در این نسخه‌ها، Zammad هنگام بررسی امضای دیجیتال یک ایمیل ورودی، صحت و اعتبار گواهینامه (Certificate) را به طور کامل بررسی نمی‌کند. در واقع، سیستم تنها چک می‌کند که آیا گواهینامه‌ای با نام مشابه در حافظه سیستم ذخیره شده است یا خیر.
سناریوی حمله
یک عامل تهدید (Threat Actor) می‌تواند با ایجاد یک گواهینامه جعلی که نام آن با یک فرستنده مورد اعتماد (که پیش‌تر در سیستم ثبت شده) مطابقت داشته باشد، ایمیل‌های جعلی ارسال کند. به دلیل نقص در فرآیند Verification، سیستم Zammad این ایمیل‌ها را با وضعیت «تایید شده» نمایش می‌دهد و کاربر را گمراه می‌کند که پیام از سوی یک منبع معتبر ارسال شده است.
راهکار رفع مشکل
برای مقابله با این ریسک، مدیران سیستم باید Zammad را به نسخه 7.1.2 یا بالاتر به‌روزرسانی کنند تا مکانیزم‌های اعتبارسنجی گواهینامه‌ها اصلاح شده و امکان جعل امضا از بین برود.
