CVE-2026-48211

OTRS nie neutralizuje wystarczająco wartości kontrolowanych przez użytkownika, które są następnie umieszczane w eksportach CSV. Atakujący może wstrzyknąć wartości rozpoczynające się od znaków formuł arkusza kalkulacyjnego (=, +, -, @), które po otwarciu pliku CSV w arkuszu mogą zostać zinterpretowane jako formuły i wykonać niezamierzone akcje. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.

OTRS nie egzekwuje wystarczająco unikalności tożsamości użytkowników-klietnów w wielu skonfigurowanych backendach CustomerUser. Gdy skonfigurowano wiele backendów (np. baza danych i LDAP), sprawdzanie unikalności adresów e-mail odbywa się tylko w wybranym backendzie, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia/modyfikacji użytkowników-klietnów utworzyć konto z adresem e-mail już istniejącym w innym backendzie. Może to prowadzić do powiązania informacji lub komunikacji e-mail z niewłaściwym użytkownikiem. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.

W systemie OTRS wykryto podatność CSRF, która pozwala nieuwierzytelnionemu atakującemu wymusić na przeglądarce zalogowanego administratora wykonanie akcji administracyjnych, takich jak czyszczenie logów DBUpdate, bez odpowiedniej weryfikacji tokenu ChallengeToken. Atak może zostać przeprowadzony poprzez osadzenie spreparowanego żądania GET na złośliwej stronie internetowej. Skuteczne wykorzystanie może usunąć istniejące wpisy logów DBUpdate, ograniczając dostępność informacji diagnostycznych i historycznych używanych do rozwiązywania problemów i audytów.

Endpoint konfiguracji OTRS Agent Frontend może być dostępny bez uwierzytelnienia. Pozwala to nieuwierzytelnionym zdalnym użytkownikom na pobranie wewnętrznej konfiguracji aplikacji przeznaczonej dla uwierzytelnionego Agent Frontend. Ujawnione informacje mogą obejmować trasy frontendu i powiązane grupy autoryzacyjne, konfigurację uwierzytelniania, włączone funkcje produktu, ustawienia integracji z zewnętrznymi systemami i inne szczegóły implementacji. Podatność dotyczy wersji 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X.

Podatność typu path traversal w funkcji SendSupportBundle w OTRS pozwala uwierzytelnionemu administratorowi odwoływać się do ścieżek plików poza zamierzonym katalogiem, co może umożliwić usunięcie plików dostępnych dla procesu aplikacji OTRS.

Administrator OTRS może wprowadzić dowolny kod JavaScript do treści niestandardowej strony OTRS, który jest przechowywany przez aplikację i wykonywany w przeglądarce użytkowników odwiedzających tę stronę. Podatność dotyczy wersji OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X.

W OTRS wcześniej wydane tokeny uwierzytelniające (JWT) nie są natychmiast unieważniane po dezaktywacji konta agenta lub klienta albo po zmianie hasła. Token może pozostać ważny aż do swojego zwykłego czasu wygaśnięcia, czyli około 16 godzin. Atakujący, który wcześniej zdobył ważny token, może nadal korzystać z OTRS z uprawnieniami danego konta.

Nieprawidłowa walidacja danych wejściowych w module bazy danych OTRS i ((OTRS)) Community Edition umożliwia nieuwierzytelnioną iniekcję SQL, co może prowadzić do ominięcia uwierzytelniania. Problem dotyczy tylko systemów, w których serwer MySQL/MariaDB jest skonfigurowany z trybem SQL NO_BACKSLASH_ESCAPES.

W OTRS i ((OTRS)) Community Edition stwierdzono podatność na ataki XSS (refleksyjne) w obsłudze zgłoszeń. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane parametry żądania związane z akcjami zgłoszeń, co prowadzi do wykonania skryptu w kontekście sesji agenta po otwarciu spreparowanego linku.

Niewłaściwa neutralizacja aktywnej treści SVG w renderowaniu artykułów zgłoszeń w OTRS lub ((OTRS)) Community Edition pozwala atakującym na wstrzyknięcie specjalnie spreparowanych ładunków SVG przez treść e-maila. Prowadzi to do wyczerpania zasobów po stronie przeglądarki i odmowy usługi po otwarciu dotkniętego zgłoszenia przez agenta lub klienta. Problem można wykorzystać bez wykonywania JavaScript i nie jest łagodzony przez skonfigurowaną Politykę Bezpieczeństwa Treści (CSP).