Apa yang terjadi
Advisory GitHub (25 September 2026): Konfigurasi Agen AI Zammad dilindungi oleh filter keamanan yang dapat dilewati dengan teks kolom yang dibuat khusus, memungkinkan agen yang dikonfigurasi admin menyuntikkan eksekusi perintah yang terpicu secara otomatis saat agen memproses tiket (CVSS 8.6).
Mengapa penting
Konfigurasi agen AI adalah jalur kode tepercaya; melewati filter inputnya berarti 'agen' menjadi primitif RCE server persisten di infrastruktur helpdesk yang menangani konteks pelanggan/tiket sensitif.
Vektor serangan
Administrator yang dapat membuat/mengedit Agen AI Zammad melewati filter keamanan yang melindungi konfigurasi Agen AI dengan memasukkan teks yang dibuat khusus ke dalam kolom Agen AI; kode berbahaya berjalan secara otomatis saat berikutnya Agen AI yang terpengaruh memproses tiket, mencapai eksekusi perintah arbitrer di host Zammad.
Sistem yang terdampak
Helpdesk Zammad sebelum 7.1.2
Mitigasi
Tingkatkan Zammad ke >= 7.1.2 (commit perbaikan e3b0c8df91ad2108c8305be23e8fe6f73fb9718d).