CVE-2023-38060
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność związana z niewłaściwą walidacją danych wejściowych w parametrze ContentType dla załączników w operacjach TicketCreate lub TicketUpdate w modułach OTRS Generic Interface. Umożliwia to uwierzytelnionemu atakującemu przeprowadzenie ataku typu host header injection dla nagłówka ContentType załącznika.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do manipulacji nagłówkami, co może prowadzić do dalszych ataków na system lub ujawnienia danych. Organizacje powinny być świadome ryzyka związanego z niewłaściwą walidacją danych.
Rekomendacja
Zaleca się aktualizację OTRS do wersji 7.0.45 lub 8.0.35 oraz dla ((OTRS)) Community Edition do wersji 6.0.34, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Improper Input Validation vulnerability in the ContentType parameter for attachments on TicketCreate or TicketUpdate operations of the OTRS Generic Interface modules allows any authenticated attacker to to perform an host header injection for the ContentType header of the attachment. This issue affects OTRS: from 7.0.X before 7.0.45, from 8.0.X before 8.0.35; ((OTRS)) Community Edition: from 6.0.1 through 6.0.34.