ZSA-2026-15

Date: 2026-09-16
Affected: Alle Versionen von Znuny LTS von 6.5.1 bis einschließlich 6.5.24.
Alle Versionen von Znuny von 7.3.1 bis einschließlich 7.3.6.
Alle Versionen von Znuny 6.0, 6.1, 6.2, 6.3, 6.4, 7.0, 7.1 und 7.2.
Severity: medium
CVE: Beantragt

In der Ticketsuche (Kernel::System::Ticket::TicketSearch und Kernel::System::Ticket::ArticleSearchIndex::DB) besteht eine SQL-Injection-Schwachstelle über den Parameter ContentSearch. Der Parameter sollte entweder "AND" oder "OR" enthalten, sein Wert wurde jedoch ohne Validierung direkt in die generierte SQL-Abfrage eingefügt.

Behoben in: Znuny LTS 6.5.25 und Znuny 7.3.7

Dank an Mokrane ABDELMALEK (über das VDP-Programm der Universität Gent) für die Meldung.