Security Patch Level Release 🔐

Der Asset-Handling-Mechanismus von Zammad verfĂŒgt ĂŒber eine Logik, die sicherstellt, dass Kundenbenutzer nicht in der Lage sind, die persönlichen Daten anderer Benutzer zu sehen. Diese Logik war nicht wirksam, wenn sie ĂŒber eine Web-Socket-Verbindung verwendet wurde, so dass ein angemeldeter Angreifer in der Lage war, persönliche Daten anderer Benutzer durch Abfragen der Zammad-API abzurufen. Ab sofort ist die Logik auch bei der Nutzung der Web-Socket-Verbindung wirksam.

Zammad verfĂŒgt ĂŒber ein fein abgestuftes Berechtigungsmodell, welches die Konfiguration eines Nur-Lese-Zugriffs auf Tickets ermöglicht. Agenten waren fĂ€lschlicherweise dennoch in der Lage einige Operationen an solchen Tickets durchzufĂŒhren, wie das HinzufĂŒgen und Entfernen von Links, Tags und zugehörigen Antworten. Dieser Fehler wurde nun behoben.

Hinweis: 🏠 Gehostete Instanzen werden automatisch aktualisiert, sodass von Ihrer Seite keine Maßnahmen erforderlich sind.

Advisories

Das entsprechenden Advisories finden Sie hier:

Downloads

Alle Änderungen finden Sie wie immer im Changelog.

Download Zammad 5.2.2

Changelog

Source code

Packages

Upgrade

Informationen zu einem Upgrade Ihrer Zammad-Instanz finden Sie hier:

Hinweise

Node.js dependency

Bitte beachten Sie, dass Sie ab Zammad 5.0 Node.js benötigen, um 'rake assets:precompile' auszufĂŒhren.
Dies betrifft alle Quellcode-Installationen und diejenigen, die Javascript- oder Stylesheet-Dateien in Zammad Àndern.
Mehr dazu in der Dokumentation.