CVE-2026-93484 Inyección SQL en Znuny mediante el parámetro ContentSearch

Qué es CVE-2026-93484

Znuny hasta 7.3.6 concatena directamente entrada del usuario en la consulta SQL de búsqueda de tickets, en Kernel::System::Ticket::TicketSearch y Kernel::System::Ticket::ArticleSearchIndex::DB, a través del parámetro ContentSearch, que debería ser "AND" u "OR". Permite a un atacante inyectar comandos SQL arbitrarios y derivar en robo o modificación de datos o denegación de servicio.

Productos y versiones afectadas

• Znuny

  • hasta antes de 6.5.25
  • desde 7.0.0 hasta antes de 7.3.7

Qué hacer

1. Verificá si usás Znuny y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.6 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N/AU:Y/R:U/RE:M/U:Amber

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Baja

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Baja

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Znuny through 7.3.6 constructs a ticket-search database query by directly concatenating user-supplied input into the SQL statement. This lack of proper sanitization or the use of parameterized queries allows an attacker to inject arbitrary SQL commands, leading to data theft, modification, or denial of service. Specifically this is in Kernel::System::Ticket::TicketSearch and Kernel::System::Ticket::ArticleSearchIndex::DB via the ContentSearch parameter. The parameter is expected to be either "AND" or "OR", but its value was concatenated directly into the generated SQL query without validation.

Referencias

• www.znuny.org/advisories
• www.znuny.org/en/advisories/zsa-2026-15

Historial de la alerta

1. 15 OCT · 02:24VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.