CVE-2026-22200
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność w osTicket w wersjach 1.18.x przed 1.18.3 oraz 1.17.x przed 1.17.7 umożliwia zdalnemu atakującemu odczyt dowolnych plików z serwera poprzez eksport biletu do PDF. Atakujący może przesłać bilet zawierający spreparowany bogaty tekst HTML z wyrażeniami PHP filter, które nie są wystarczająco oczyszczane przed przetworzeniem przez generator PDF mPDF. Podczas eksportu biletu do PDF, wygenerowany plik może zawierać treści wybranych plików z systemu plików serwera jako obrazy bitmapowe, co prowadzi do ujawnienia wrażliwych plików lokalnych w kontekście użytkownika aplikacji osTicket.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości wycieku poufnych danych, takich jak pliki konfiguracyjne, hasła czy dane klientów, przechowywanych na serwerze. Atak może być przeprowadzony w domyślnej konfiguracji, gdzie goście mogą tworzyć bilety i sprawdzać ich status, lub gdy włączona jest samorejestracja.
Rekomendacja
Zaleca się natychmiastową aktualizację osTicket do wersji 1.18.3 lub nowszej (dla gałęzi 1.18.x) oraz 1.17.7 lub nowszej (dla gałęzi 1.17.x). Należy również rozważyć ograniczenie możliwości tworzenia biletów przez niezalogowanych użytkowników, jeśli nie jest to wymagane.
Oryginalny opis (angielski, źródło NVD)
Enhancesoft osTicket versions 1.18.x prior to 1.18.3 and 1.17.x prior to 1.17.7 contain an arbitrary file read vulnerability in the ticket PDF export functionality. A remote attacker can submit a ticket containing crafted rich-text HTML that includes PHP filter expressions which are insufficiently sanitized before being processed by the mPDF PDF generator during export. When the attacker exports the ticket to PDF, the generated PDF can embed the contents of attacker-selected files from the server filesystem as bitmap images, allowing disclosure of sensitive local files in the context of the osTicket application user. This issue is exploitable in default configurations where guests may create tickets and access ticket status, or where self-registration is enabled.