CVE-2026-38446
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność na trwałe XSS w osTicket 1.18.3 z powodu nieprawidłowego oczyszczania pola tytułu wpisu wątku. Wprowadzone przez użytkownika dane w tytule są przechowywane bez odpowiedniego kodowania HTML i później renderowane w szablonach dla personelu bez odpowiedniego kodowania wyjścia. Atakujący może wstrzyknąć dowolny JavaScript poprzez przesłanie spreparowanej odpowiedzi na zgłoszenie lub e-maila ze złośliwym tematem.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt JavaScript w kontekście przeglądarki personelu, co może prowadzić do kradzieży sesji, wycieku danych lub innych działań na koncie ofiary.
Rekomendacja
Należy zaktualizować osTicket do najnowszej wersji lub zastosować odpowiednie filtrowanie i kodowanie danych wejściowych.
Inne podatności w osTicket
Zobacz wszystkie- CVE-2026-9507Średnie
W osTicket v1.18.2 zidentyfikowano podatność na fałszowanie sesji, która umożliwia atakującemu przejęcie konta ofiary poprzez utrzymanie aktywnego początkowego identyfikatora sesji (OSTSESSID) po pomyślnym logowaniu.
- CVE-2026-38447Krytyczne
osTicket 1.18.3 generuje klucze API w przewidywalny sposób, używając MD5 z niskiej entropii danych, takich jak znacznik czasu i adres IP klienta. Umożliwia to atakującemu odgadnięcie klucza w krótkim czasie.
- CVE-2026-18363Krytyczne
W systemie osTicket przed wersjami 1.17.8 i 1.18.4 występuje błąd logiczny w walidacji tokena resetowania hasła. Sprawdzanie ważności tokena jest wykonywane tylko wtedy, gdy wyszukanie znacznika czasu nie powiedzie się, co pozwala na wielokrotne użycie ważnego tokena.
- CVE-2026-22200Wysokie
Podatność w osTicket w wersjach 1.18.x przed 1.18.3 oraz 1.17.x przed 1.17.7 umożliwia zdalnemu atakującemu odczyt dowolnych plików z serwera poprzez eksport biletu do PDF. Atakujący może przesłać bilet zawierający spreparowany bogaty tekst HTML z wyrażeniami PHP filter, które nie są wystarczająco oczyszczane przed przetworzeniem przez generator PDF mPDF. Podczas eksportu biletu do PDF, wygenerowany plik może zawierać treści wybranych plików z systemu plików serwera jako obrazy bitmapowe, co prowadzi do ujawnienia wrażliwych plików lokalnych w kontekście użytkownika aplikacji osTicket.
- CVE-2020-24881Krytyczne
Podatność SSRF w osTicket przed wersją 1.14.3 umożliwia atakującemu dodanie złośliwego pliku na serwer lub przeprowadzenie skanowania portów.
- CVE-2019-14750Średnie
W osTicket przed wersją 1.10.7 oraz w wersjach 1.12.x przed 1.12.1 odkryto podatność na trwały XSS w pliku setup/install.php. Brak sanitizacji danych wejściowych w polach imienia i nazwiska umożliwia wstrzyknięcie złośliwych zapytań, które są następnie wykonywane.
- CVE-2019-14749Wysokie
W osTicket przed wersją 1.10.7 oraz w wersjach 1.12.x przed 1.12.1 odkryto podatność na wstrzykiwanie formuł CSV podczas eksportu arkuszy kalkulacyjnych. Arkusze generowane są dynamicznie z niesprawdzonych danych wejściowych w polach Nazwa i Notatki wewnętrzne w zakładce Użytkownicy oraz w polu Podsumowanie zgłoszenia w zakładce Zgłoszenia. Pozwala to agentom na pobranie danych w formacie .csv lub .xls, które mogą zawierać złośliwe formuły.
- CVE-2019-11537Średnie
W osTicket przed wersją 1.12 odkryto podatność na atak XSS poprzez przesyłanie spreparowanego pliku CSV do importera użytkowników. Treść pliku może zostać wyświetlona w komunikacie błędu, co umożliwia wykonanie skryptu po stronie przeglądarki. Podatność ta może prowadzić do lokalnego dołączania plików.
- CVE-2017-15580Krytyczne
osTicket w wersji 1.10.1 umożliwia przesyłanie plików 'html', jednak nie weryfikuje poprawnie zawartości przesyłanych plików, co pozwala na przesyłanie dowolnych typów plików, w tym złośliwych. Atakujący może wykorzystać tę podatność do przesyłania plików złośliwych na aplikację webową.
- CVE-2017-14396Krytyczne
W osTicket przed wersją 1.10.1 możliwe jest wstrzykiwanie SQL poprzez skonstruowanie tablicy za pomocą nawiasów kwadratowych na końcu nazwy parametru, co zostało zademonstrowane przez parametr key w pliku file.php.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability exists in osTicket 1.18.3 due to improper sanitization of the thread entry title field. User-controlled input in the title is stored without adequate HTML escaping and later rendered in multiple staff-facing templates without proper output encoding. An attacker can inject arbitrary JavaScript by submitting a crafted ticket reply or email with a malicious subject line.