ZSA-2026-13

Date: 2026-09-16
Affected: Alle Versionen von Znuny LTS von 6.5.1 bis einschließlich 6.5.24.
Alle Versionen von Znuny von 7.3.1 bis einschließlich 7.3.6.
Alle Versionen von Znuny 6.0, 6.1, 6.2, 6.3, 6.4, 7.0, 7.1 und 7.2.
Severity: high
CVE: CVE-2026-48188

Im Agenten-Login (Kernel::System::Auth::DB) besteht eine SQL-Injection-Schwachstelle. Der übermittelte Benutzername wurde nach einer Maskierung mittels der Quote()-Methode der Datenbank in die Login-SQL-Abfrage eingefügt, anstatt als gebundener Parameter übergeben zu werden. Dadurch konnte ein Angreifer die zur Authentifizierung von Agenten verwendete Abfrage manipulieren.

Behoben in: Znuny LTS 6.5.25 und Znuny 7.3.7