БезопасностьВерсия 7.2.1Важное
Zammad 7.2.1: критическое обновление безопасности
Zammad 7.2.1 закрывает критические ошибки двухфакторного входа, автоматизации и разграничения доступа к заявкам.
Что изменилось
Исправлен обход многофакторного входа через подтверждение почты.
Закрыт обход очистки шаблонов автоматизации, который мог позволить выполнить код.
Усилены проверки заявок, их сообщений, уведомлений и данных других организаций.
Отключённые роли не должны сохранять доступ к группам и редактированию базы знаний; неактивные сессии теряют разрешения.
Закрыты раскрытие секретов каналов, идентификатора сессии и ряда настроек, а также ошибки очистки HTML и сортировки обзоров.
Что учесть
Для собственных установок разработчики настойчиво рекомендуют немедленное обновление. Облачные экземпляры уже исправлены поставщиком на дату объявления.
После установки проверьте многофакторный вход и права ограниченной роли. Особенно важны заявки, перемещённые из доступной сотруднику группы: их содержимое не должно оставаться доступным через уведомления и вспомогательные API.