W systemie Znuny (do wersji 7.1.3 włącznie) ciasteczko jest ustawiane bez flagi HttpOnly, co umożliwia jego odczyt przez skrypty JavaScript. Podatność ta może prowadzić do kradzieży sesji użytkownika.
▸ Pokaż oryginał (EN)
An issue was discovered in Znuny through 7.1.3. A cookie is set without the HttpOnly flag.
Flaga HttpOnly w nagłówku ciasteczka HTTP uniemożliwia skryptom po stronie klienta (np. JavaScript) dostęp do jego wartości. Gdy flaga ta nie jest ustawiona, atakujący może wykorzystać podatność typu XSS lub inny mechanizm wykonania skryptu w przeglądarce ofiary, aby odczytać wartość ciasteczka i przejąć sesję zalogowanego użytkownika. Brak tej flagi klasyfikowany jest jako CWE-1004 (Sensitive Cookie Without 'HttpOnly' Flag).
Atakujący może ukraść ciasteczko sesji ofiary i przejąć jej uwierzytelnioną sesję w aplikacji, uzyskując dostęp do danych i funkcji z uprawnieniami zaatakowanego użytkownika.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.znuny.org/en/advisories/zsa-2025-05). Zaleca się aktualizację do wersji wyższej niż 7.1.3.
Znuny w wersjach do 7.1.3 włącznie
Pomimo oceny CVSS 9.8 (CRITICAL), podatność sama w sobie wymaga zazwyczaj połączenia z inną techniką (np. XSS) w celu praktycznego wykorzystania. Brak wpisu w CISA KEV. Szczegóły dostępne w poradniku producenta ZSA-2025-05.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HZnuny
APPZnuny≤ 7.1.3
Powiązane podatności
Brak weryfikacji uprawnień w Generic Interface systemu Znuny (eskalacja uprawnień)
Eval Injection w Znuny umożliwia zdalne wykonanie poleceń
Path traversal i RCE w Znuny poprzez manipulację żądaniem AJAX
An issue was discovered in Znuny through 7.1.3. If access to a ticket is not given, the content of S/MIME encr...
An issue was discovered in Znuny before 7.1.5. When generating a support bundle, not all passwords are masked.