🇰🇷 한글 설명
Zammad 오픈소스 헬프데스크 시스템의 7.0.1 미만 버전에서 발생하는 취약점입니다. 권한이 낮은 인증된 사용자가 티켓 생성 과정에서 HTML 마크업과 자바스크립트 이벤트 핸들러를 티켓 제목에 삽입할 수 있으며, 해당 제목이 검증 없이 저장됩니다.
💡 쉬운 설명
로그인한 사용자가 티켓 제목에 몰래 악성 코드를 심을 수 있는 보안 약점입니다. 이 코드가 실행되면 다른 사용자의 정보를 훔치거나 원치 않는 동작을 유도할 수 있습니다.
🇺🇸 원문 (English)
Zammad is a web based open source helpdesk/customer support system. Prior to 7.0.1, a low-privilege authenticated user may inject arbitrary HTML markup, including JavaScript event handlers, into a ticket title via the standard ticket creation workflow. The title is persisted without sanitization. This issue is fixed in version 7.0.1.
📍 영향받는 시스템
Zammad 7.0.1 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 티켓 생성 시 제목 필드에 악성 HTML/JavaScript 삽입
🛡️ 대응 방법
Zammad를 최신 버전인 7.0.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 7.0.1 미만(예: 6.x.x 또는 7.0.0)이면 취약한 상태입니다.
curl -s http://<ZAMMAD_URL>/api/v1/version | grep -E '"version": "[0-6]\.'