CVE-2026-105455

ŚrednieCVSS 5.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

Formularze tworzenia zgłoszeń w RTIR pokazują temat powiązanego zgłoszenia podczas dzielenia zgłoszenia lub tworzenia incydentu z raportu, renderując ten temat bez escapowania HTML. Temat zawierający skrypt uruchamia go, gdy użytkownik otworzy formularz. RTIR domyślnie przyznaje wszystkim prawo tworzenia Incident Reports, więc nieuwierzytelniony nadawca e-maila może ustawić taki temat, a skrypt działa w sesji osoby obsługującej incydent. Podatność naprawiono w wersji 6.0.4; RTIR 5.0 nie jest podatny.

Ocena ryzyka

Nieuwierzytelniony nadawca raportu może ustawić złośliwy temat, który wykona skrypt w sesji pracownika tworzącego incydent lub dzielącego zgłoszenie, działając z jego uprawnieniami w RT.

Rekomendacja

Zaktualizuj RTIR do wersji 6.0.4 lub nowszej (RTIR 5.0 nie jest podatny) i rozważ ograniczenie możliwości tworzenia Incident Reports przez nieuwierzytelnionych nadawców.

Inne podatności w RTIR

CVE-2026-105456Średnie
RTIR rozszerza mechanizm oczyszczania HTML w RT, aby dopuszczać wewnętrzny placeholder linku, i przepuszcza każdy link zawierający ten placeholder, w tym linki z wykonywalnym schematem javascript:. Zmiana dotyczy całej instancji RT po zainstalowaniu RTIR, nie tylko kolejek RTIR. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki Incident Reports, domyślnie otwartej dla wszystkich — może zapisać taki link, a skrypt uruchamia się w sesji użytkownika klikającego link. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

Oryginalny opis (angielski, źródło NVD)

RTIR's ticket creation forms show the subject of the related ticket when splitting a ticket or creating an incident from a report, and they render that subject without HTML escaping. A ticket subject containing script runs it when a user opens either form. RTIR grants everyone the right to create Incident Reports by default, so an unauthenticated sender of an emailed report can set that subject. The script then runs in the session of the incident handler who creates an incident from the report or splits it, and can act in RT with that user's authority. The issue was fixed in version 6.0.4. RTIR 5.0 is not affected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS