CVE-2026-38447
KrytyczneCVSS 9.8Streszczenie
osTicket 1.18.3 generuje klucze API w przewidywalny sposób, używając MD5 z niskiej entropii danych, takich jak znacznik czasu i adres IP klienta. Umożliwia to atakującemu odgadnięcie klucza w krótkim czasie.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do API osTicket, co może prowadzić do naruszenia danych zgłoszeń i konfiguracji systemu.
Rekomendacja
Zaktualizuj osTicket do najnowszej wersji, która używa bezpiecznego generowania kluczy API.
Oryginalny opis (angielski, źródło NVD)
osTicket 1.18.3 generates API keys using a predictable construction based on MD5 hashing. The use of MD5, combined with predictable inputs such as the current timestamp and client IP address, significantly reduces entropy. An attacker can approximate the key generation time and brute-force the key space within a feasible time window.