CVE-2026-78357
KrytyczneCVSS 9.1Streszczenie
W OTRS wcześniej wydane tokeny uwierzytelniające (JWT) nie są natychmiast unieważniane po dezaktywacji konta agenta lub klienta albo po zmianie hasła. Token może pozostać ważny aż do swojego zwykłego czasu wygaśnięcia, czyli około 16 godzin. Atakujący, który wcześniej zdobył ważny token, może nadal korzystać z OTRS z uprawnieniami danego konta.
Ocena ryzyka
Osoba posiadająca przechwycony token może zachować dostęp do systemu nawet po odebraniu uprawnień lub zmianie hasła, co utrudnia skuteczne odcięcie dostępu. Skala ryzyka zależy od uprawnień powiązanych z tokenem — tokeny agentów mogą dawać szeroki dostęp do zgłoszeń, klientów lub funkcji administracyjnych.
Rekomendacja
Zaplanuj aktualizację OTRS do wersji 2026.7.X lub nowszej, która rozwiązuje problem. Do czasu aktualizacji traktuj zmianę hasła i dezaktywację konta jako niewystarczające do unieważnienia sesji i rozważ dodatkowe środki kontroli dostępu.
Inne podatności w OTRS
Zobacz wszystkie- CVE-2026-93581Średnie
OTRS nie neutralizuje wystarczająco wartości kontrolowanych przez użytkownika, które są następnie umieszczane w eksportach CSV. Atakujący może wstrzyknąć wartości rozpoczynające się od znaków formuł arkusza kalkulacyjnego (=, +, -, @), które po otwarciu pliku CSV w arkuszu mogą zostać zinterpretowane jako formuły i wykonać niezamierzone akcje. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.
- CVE-2026-78359Średnie
OTRS nie egzekwuje wystarczająco unikalności tożsamości użytkowników-klietnów w wielu skonfigurowanych backendach CustomerUser. Gdy skonfigurowano wiele backendów (np. baza danych i LDAP), sprawdzanie unikalności adresów e-mail odbywa się tylko w wybranym backendzie, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia/modyfikacji użytkowników-klietnów utworzyć konto z adresem e-mail już istniejącym w innym backendzie. Może to prowadzić do powiązania informacji lub komunikacji e-mail z niewłaściwym użytkownikiem. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.
- CVE-2026-78358Średnie
W systemie OTRS wykryto podatność CSRF, która pozwala nieuwierzytelnionemu atakującemu wymusić na przeglądarce zalogowanego administratora wykonanie akcji administracyjnych, takich jak czyszczenie logów DBUpdate, bez odpowiedniej weryfikacji tokenu ChallengeToken. Atak może zostać przeprowadzony poprzez osadzenie spreparowanego żądania GET na złośliwej stronie internetowej. Skuteczne wykorzystanie może usunąć istniejące wpisy logów DBUpdate, ograniczając dostępność informacji diagnostycznych i historycznych używanych do rozwiązywania problemów i audytów.
- CVE-2026-78356Średnie
Endpoint konfiguracji OTRS Agent Frontend może być dostępny bez uwierzytelnienia. Pozwala to nieuwierzytelnionym zdalnym użytkownikom na pobranie wewnętrznej konfiguracji aplikacji przeznaczonej dla uwierzytelnionego Agent Frontend. Ujawnione informacje mogą obejmować trasy frontendu i powiązane grupy autoryzacyjne, konfigurację uwierzytelniania, włączone funkcje produktu, ustawienia integracji z zewnętrznymi systemami i inne szczegóły implementacji. Podatność dotyczy wersji 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X.
- CVE-2026-78355Wysokie
Podatność typu path traversal w funkcji SendSupportBundle w OTRS pozwala uwierzytelnionemu administratorowi odwoływać się do ścieżek plików poza zamierzonym katalogiem, co może umożliwić usunięcie plików dostępnych dla procesu aplikacji OTRS.
- CVE-2026-48212Średnie
Administrator OTRS może wprowadzić dowolny kod JavaScript do treści niestandardowej strony OTRS, który jest przechowywany przez aplikację i wykonywany w przeglądarce użytkowników odwiedzających tę stronę. Podatność dotyczy wersji OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X.
- CVE-2026-48211Średnie
Uwierzytelniony administrator może zostać nakłoniony do usunięcia administracyjnych szablonów Import/Export poprzez atak CSRF. Akcja AdminImportExport::TemplateDelete nie waliduje tokenu ChallengeToken, co pozwala zdalnemu atakującemu na wykonanie złośliwego żądania z uprawnieniami aktywnej sesji administratora. Podatność dotyczy OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X, a także Community Edition 6.x i wcześniejszych.
- CVE-2026-48188Krytyczne
Nieprawidłowa walidacja danych wejściowych w module bazy danych OTRS i ((OTRS)) Community Edition umożliwia nieuwierzytelnioną iniekcję SQL, co może prowadzić do ominięcia uwierzytelniania. Problem dotyczy tylko systemów, w których serwer MySQL/MariaDB jest skonfigurowany z trybem SQL NO_BACKSLASH_ESCAPES.
- CVE-2026-48209Wysokie
W OTRS i ((OTRS)) Community Edition stwierdzono podatność na ataki XSS (refleksyjne) w obsłudze zgłoszeń. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane parametry żądania związane z akcjami zgłoszeń, co prowadzi do wykonania skryptu w kontekście sesji agenta po otwarciu spreparowanego linku.
- CVE-2026-48208Średnie
Niewłaściwa neutralizacja aktywnej treści SVG w renderowaniu artykułów zgłoszeń w OTRS lub ((OTRS)) Community Edition pozwala atakującym na wstrzyknięcie specjalnie spreparowanych ładunków SVG przez treść e-maila. Prowadzi to do wyczerpania zasobów po stronie przeglądarki i odmowy usługi po otwarciu dotkniętego zgłoszenia przez agenta lub klienta. Problem można wykorzystać bez wykonywania JavaScript i nie jest łagodzony przez skonfigurowaną Politykę Bezpieczeństwa Treści (CSP).
Oryginalny opis (angielski, źródło NVD)
Previously issued authentication tokens are not immediately invalidated when an OTRS agent or customer user account is deactivated or its password is changed. As a result, an existing JWT may remain valid until its regular expiration time, which can be approximately 16 hours. An attacker who has previously obtained a valid authentication token can therefore continue to access OTRS with the privileges of the affected agent or customer user even after the corresponding account has been deactivated or the user's password has been changed. The vulnerability does not allow an attacker to obtain authentication tokens by itself. Exploitation requires possession of a previously issued and still valid token. The actual impact depends on the privileges associated with the compromised token. Customer user tokens are limited to the permissions of the affected customer account, while agent tokens may provide access to broader ticket, customer, or administrative functionality depending on the assigned permissions. This issue affects OTRS: * 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X before 2026.7.X
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS