CVE-2026-102489: Ejecución Remota de Código No Autenticada en Zammad

Este repositorio contiene una prueba de concepto para CVE-2026-102489, una vulnerabilidad de ejecución remota de código no autenticada en Zammad. El exploit encadena un fallo de divulgación de información en WebSocket con la toma de control de sesión autenticada y la ejecución arbitraria de comandos como el usuario del sistema operativo zammad.

Detalles de la Vulnerabilidad

Sessions::Event::Base es una constante Ruby válida que no tiene un método run(). Enviar {"event":"base"} a través del endpoint WebSocket genera un NoMethodError cuyo mensaje incluye la inspección completa del receptor — que contiene @clients, el mapa en vivo del contexto de solicitud de cada usuario conectado, incluyendo su encabezado Cookie.

El PoC aprovecha esta filtración para:

1. Recopilar cookies _zammad_session válidas de usuarios conectados mediante la divulgación de @clients del WebSocket.
2. Identificar y secuestrar una sesión autenticada (idealmente de administrador).
3. Instalar una plantilla ERB maliciosa a través de la API de paquetes, sobrescribiendo la vista del correo de restablecimiento de contraseña.
4. Activar la evaluación de plantillas del lado del servidor mediante un restablecimiento de contraseña para ejecutar un comando arbitrario, y luego limpiar el paquete instalado.

Publicación del Blog

El análisis técnico que cubre la causa raíz, la explotación y los indicadores de compromiso está disponible en el blog de investigación de ataques de Horizon3.ai:

https://horizon3.ai/attack-research/disclosures/cve-2026-102489-zammad-session-leak-rce/

Uso

% python3 CVE-2026-102489.py -h
usage: CVE-2026-102489.py [-h] -u URL [-c COMMAND] [--out-file OUT_FILE]

options:
  -h, --help            show this help message and exit
  -u URL, --url URL     The base URL of the target
  -c COMMAND, --command COMMAND
                        Command to execute on the target
  --out-file OUT_FILE   Output file path on the target (default:
                        /tmp/zammad_rce.txt)

Ejecutar con el comando id predeterminado:

python3 CVE-2026-102489.py -u http://zammad.example.com

Ejecutar un comando arbitrario:

python3 CVE-2026-102489.py -u http://zammad.example.com -c 'id'

Nota: La divulgación de información requiere que al menos un usuario autenticado esté conectado al endpoint WebSocket en el momento de la explotación.

Sigue al Equipo de Ataque de Horizon3.ai para las Últimas Investigaciones de Seguridad

• Horizon3 Attack Team

Descargo de Responsabilidad

"Este software ha sido creado puramente con fines de investigación académica y para el desarrollo de técnicas defensivas efectivas, y no está destinado a ser utilizado para atacar sistemas excepto cuando esté explícitamente autorizado." Los mantenedores del proyecto no asumen ninguna responsabilidad por el mal uso. Úsalo de manera responsable.