CVE-2026-102490: пакеты Zammad запускали файлы от root

В пакетах Zammad для DEB и RPM сервисы стартовали от root и исполняли файлы, доступные на запись непривилегированному пользователю zammad, что давало локальное повышение привилегий. Уязвимость получила CVSS 7.8, 2 октября 2026 года CISA внесла её в каталог эксплуатируемых. Установки из исходников и контейнеров не затронуты.

• CVSS 3.1: 7.8, вектор AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• CISA добавила CVE в каталог эксплуатируемых уязвимостей 2 октября 2026 года
• Затронуты все релизные пакеты packager.io; исходники и контейнеры — нет
• Автоперезапуск сервисов давал повторные окна выполнения от root