CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2020-26035
https://notcve.org/view.php?id=CVE-2020-26035
An issue was discovered in Zammad before 3.4.1. There is Stored XSS via a Tags element in a TIcket. Se detectó un problema en Zammad versiones anteriores a 3.4.1. Se presenta una vulnerabilidad de tipo XSS almacenado por medio de un elemento Tags en un Ticket • https://zammad.com/news/security-advisory-zaa-2020-21 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2020-29158
https://notcve.org/view.php?id=CVE-2020-29158
An issue was discovered in Zammad before 3.5.1. An Agent with Customer permissions in a Group can bypass intended access control on internal Articles via the Ticket detail view. Se detectó un problema en Zammad versiones anteriores a 3.5.1. Un Agente con permisos de Cliente en un Grupo puede omitir un control de acceso previsto en los Artículos internos por medio de la vista de detalles del Ticket • https://github.com/zammad/zammad/commit/cf5a5e396058d4b134dd33d0a62b11c1733c98ab https://zammad.com/en/advisories/zaa-2020-23 • CWE-862: Missing Authorization •
CVSS: 4.9EPSS: 0%CPEs: 1EXPL: 0CVE-2020-29159
https://notcve.org/view.php?id=CVE-2020-29159
An issue was discovered in Zammad before 3.5.1. The default signup Role (for newly created Users) can be a privileged Role, if configured by an admin. This behvaior was unintended. Se detectó un problema en Zammad versiones anteriores a 3.5.1. El Rol de registro predeterminado (para Usuarios recién creados) puede ser un rol privilegiado, si es configurado por un administrador. • https://github.com/zammad/zammad/commit/f0462d4c20c2968b52b5dc6a585f26c0409b4fc4 https://zammad.com/en/advisories/zaa-2020-22 •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2020-29160
https://notcve.org/view.php?id=CVE-2020-29160
An issue was discovered in Zammad before 3.5.1. A REST API call allows an attacker to change Ticket Article data in a way that defeats auditing. Se detectó un problema en Zammad versiones anteriores a 3.5.1. Una llamada a la API REST permite a un atacante cambiar los datos de Ticket Article en una manera que anula la auditoría • https://github.com/zammad/zammad/commit/28944de180a88698509a656f61558bf9d7f810f4 https://zammad.com/en/advisories/zaa-2020-24 • CWE-862: Missing Authorization •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2020-14214
https://notcve.org/view.php?id=CVE-2020-14214
Zammad before 3.3.1, when Domain Based Assignment is enabled, relies on a claimed e-mail address for authorization decisions. An attacker can register a new account that will have access to all tickets of an arbitrary Organization. En Zammad en versiones anteriores a la 3.3.1, cuando se habilita la asignación basada en el dominio, se basa en una dirección de correo electrónico reclamada para las decisiones de autorización. Un atacante puede registrar una nueva cuenta que tendrá acceso a todas las entradas de una Organización arbitraria • https://github.com/zammad/zammad/commit/40148392426f626cb779c76d6bdda0f67bd6069d https://zammad.com/news/security-advisory-zaa-2020-12 • CWE-863: Incorrect Authorization •