CVE-2026-78356
ŚrednieCVSS 5.3Streszczenie
Endpoint konfiguracji OTRS Agent Frontend może być dostępny bez uwierzytelnienia. Pozwala to nieuwierzytelnionym zdalnym użytkownikom na pobranie wewnętrznej konfiguracji aplikacji przeznaczonej dla uwierzytelnionego Agent Frontend. Ujawnione informacje mogą obejmować trasy frontendu i powiązane grupy autoryzacyjne, konfigurację uwierzytelniania, włączone funkcje produktu, ustawienia integracji z zewnętrznymi systemami i inne szczegóły implementacji. Podatność dotyczy wersji 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X.
Ocena ryzyka
Organizacja korzystająca z OTRS może być narażona na ujawnienie informacji o wewnętrznej konfiguracji, co może ułatwić atakującemu fingerprinting instalacji i przygotowanie dalszych ataków. Choć nie ujawnia bezpośrednio poświadczeń, może dostarczyć cennych informacji o włączonych funkcjach i konfiguracji bezpieczeństwa.
Rekomendacja
Zaktualizuj OTRS do wersji 2026.7.X lub nowszej, która naprawia tę podatność. Dodatkowo rozważ ograniczenie dostępu do endpointu Agent Frontend na poziomie sieciowym (np. za pomocą reguł firewalla) do zaufanych adresów IP.
Inne podatności w OTRS
Zobacz wszystkie- CVE-2026-93581Średnie
OTRS nie neutralizuje wystarczająco wartości kontrolowanych przez użytkownika, które są następnie umieszczane w eksportach CSV. Atakujący może wstrzyknąć wartości rozpoczynające się od znaków formuł arkusza kalkulacyjnego (=, +, -, @), które po otwarciu pliku CSV w arkuszu mogą zostać zinterpretowane jako formuły i wykonać niezamierzone akcje. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.
- CVE-2026-78359Średnie
OTRS nie egzekwuje wystarczająco unikalności tożsamości użytkowników-klietnów w wielu skonfigurowanych backendach CustomerUser. Gdy skonfigurowano wiele backendów (np. baza danych i LDAP), sprawdzanie unikalności adresów e-mail odbywa się tylko w wybranym backendzie, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia/modyfikacji użytkowników-klietnów utworzyć konto z adresem e-mail już istniejącym w innym backendzie. Może to prowadzić do powiązania informacji lub komunikacji e-mail z niewłaściwym użytkownikiem. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.
- CVE-2026-78358Średnie
W systemie OTRS wykryto podatność CSRF, która pozwala nieuwierzytelnionemu atakującemu wymusić na przeglądarce zalogowanego administratora wykonanie akcji administracyjnych, takich jak czyszczenie logów DBUpdate, bez odpowiedniej weryfikacji tokenu ChallengeToken. Atak może zostać przeprowadzony poprzez osadzenie spreparowanego żądania GET na złośliwej stronie internetowej. Skuteczne wykorzystanie może usunąć istniejące wpisy logów DBUpdate, ograniczając dostępność informacji diagnostycznych i historycznych używanych do rozwiązywania problemów i audytów.
- CVE-2026-78355Wysokie
Podatność typu path traversal w funkcji SendSupportBundle w OTRS pozwala uwierzytelnionemu administratorowi odwoływać się do ścieżek plików poza zamierzonym katalogiem, co może umożliwić usunięcie plików dostępnych dla procesu aplikacji OTRS.
- CVE-2026-48212Średnie
Administrator OTRS może wprowadzić dowolny kod JavaScript do treści niestandardowej strony OTRS, który jest przechowywany przez aplikację i wykonywany w przeglądarce użytkowników odwiedzających tę stronę. Podatność dotyczy wersji OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X.
- CVE-2026-48211Średnie
Uwierzytelniony administrator może zostać nakłoniony do usunięcia administracyjnych szablonów Import/Export poprzez atak CSRF. Akcja AdminImportExport::TemplateDelete nie waliduje tokenu ChallengeToken, co pozwala zdalnemu atakującemu na wykonanie złośliwego żądania z uprawnieniami aktywnej sesji administratora. Podatność dotyczy OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X, a także Community Edition 6.x i wcześniejszych.
- CVE-2026-78357Krytyczne
W OTRS wcześniej wydane tokeny uwierzytelniające (JWT) nie są natychmiast unieważniane po dezaktywacji konta agenta lub klienta albo po zmianie hasła. Token może pozostać ważny aż do swojego zwykłego czasu wygaśnięcia, czyli około 16 godzin. Atakujący, który wcześniej zdobył ważny token, może nadal korzystać z OTRS z uprawnieniami danego konta.
- CVE-2026-48188Krytyczne
Nieprawidłowa walidacja danych wejściowych w module bazy danych OTRS i ((OTRS)) Community Edition umożliwia nieuwierzytelnioną iniekcję SQL, co może prowadzić do ominięcia uwierzytelniania. Problem dotyczy tylko systemów, w których serwer MySQL/MariaDB jest skonfigurowany z trybem SQL NO_BACKSLASH_ESCAPES.
- CVE-2026-48209Wysokie
W OTRS i ((OTRS)) Community Edition stwierdzono podatność na ataki XSS (refleksyjne) w obsłudze zgłoszeń. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane parametry żądania związane z akcjami zgłoszeń, co prowadzi do wykonania skryptu w kontekście sesji agenta po otwarciu spreparowanego linku.
- CVE-2026-48208Średnie
Niewłaściwa neutralizacja aktywnej treści SVG w renderowaniu artykułów zgłoszeń w OTRS lub ((OTRS)) Community Edition pozwala atakującym na wstrzyknięcie specjalnie spreparowanych ładunków SVG przez treść e-maila. Prowadzi to do wyczerpania zasobów po stronie przeglądarki i odmowy usługi po otwarciu dotkniętego zgłoszenia przez agenta lub klienta. Problem można wykorzystać bez wykonywania JavaScript i nie jest łagodzony przez skonfigurowaną Politykę Bezpieczeństwa Treści (CSP).
Oryginalny opis (angielski, źródło NVD)
The OTRS Agent Frontend configuration endpoint can be accessed without authentication. This allows unauthenticated remote users to retrieve internal application configuration that is intended for use by the authenticated Agent Frontend. The exposed information may include configured frontend routes and their associated authorization groups, authentication configuration, enabled product features, third-party integration settings, and other implementation details. The exposed configuration does not directly contain user credentials or provide unauthorized modification of the OTRS configuration. However, the disclosed information may assist an attacker in fingerprinting the affected OTRS installation and identifying enabled functionality or security-relevant configuration that could be used to prepare further attacks. This issue affects OTRS: * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X before 2026.7.X
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS