Zammad 7.1.2: исправления безопасности службы поддержки

Что изменилось

• Исправлен обход очистки шаблона ИИ-агента, который мог приводить к выполнению кода.

• Усилены проверки подписей входящей почты S/MIME и PGP: некорректная подпись не должна подтверждать подлинность отправителя.

• Закрыты ошибки доступа к внешним данным, вложениям и меткам объектов.

• Исправлено автоматическое связывание аккаунтов при едином входе по неподтверждённому адресу почты.

• Ограничены попытки подбора пароля при двухфакторном входе; устранены раскрытие отдельных секретов в API и журналах и несколько ошибок очистки HTML.

Что учесть

Разработчики советуют немедленно обновить собственные установки. Облачные экземпляры Zammad на момент объявления уже исправлены поставщиком.

Администратору стоит проверить не только вход, но и получение писем с подписью, автоматизацию и доступ к вложениям из разных групп. Технические подробности каждой проблемы доступны в связанных уведомлениях безопасности официального репозитория.