Znuny LTS 6.5.25 (2026-09-16)

Release-Typ

Patchlevel

Sicherheitsrelevant

Ja

Änderungen

• Geändert: Kernel::SystemAddress::SystemAddressLookup vergleicht Systemadressen jetzt unabhängig von Groß-/Kleinschreibung.

Fehlerbehebungen

Sicherheitskorrekturen

• CVE-2026-48188: Mögliche SQL-Injection-Schwachstelle im Agenten-Login behoben.
• SQL-Injection-Schwachstelle über den Parameter ContentSearch der Ticketsuche behoben. Dank an Mokrane ABDELMALEK (über das VDP-Programm der Universität Gent) für die Meldung.
• Schwachstelle behoben, die eine unauthentifizierte Anmeldung über die GenericInterface in Kombination mit HTTP-Basic-Auth und einem Request-Header mit Benutzernamen (REMOTE_USER im HTTP-Header) ermöglichte. Dank an Mokrane ABDELMALEK (über das VDP-Programm der Universität Gent) für die Meldung.
• JavaScript-Bibliothek nunjucks von Version 3.2.3 auf 3.2.4 aktualisiert.

Fehlerkorrekturen

• Behoben: Ticket-Event zum Speichern von Kundenfirmendaten in dynamischen Feldern warf eine Warnung, wenn das Ticket keine Kunden-ID hatte.
• Behoben: Die Ticketsuchfilter "Neuer/Älter" für Datum und Minuten trafen nicht mehr auf Tickets zu, die exakt auf die angegebene Zeit fielen. Dank an @martinpintar-pixel für die Meldung. (#840)
• Behoben: Content-Type- und Anhangs-Schlüssel gelangten in Transition-Action-Module (z. B. DynamicFieldSet), die jeden Konfigurationsschlüssel als Namen eines dynamischen Feldes behandeln, wodurch die Transition-Action fehlschlug.
• Behoben: Agenten-/Kunden-Weiterleitung nach Bestätigung des initialen Informationsdialogs (AgentInfo/CustomerAccept).
• Behoben: Einige Ticket-Attribute wurden nicht korrekt in OTRS_TICKET_*-Platzhalter eingefügt.

Alle Änderungen in der CHANGES.md. Die vollständige Liste aller Änderungen finden Sie in den Commits auf GitHub.

Download