CVE-2026-93581
ŚrednieCVSS 6.1Streszczenie
OTRS nie neutralizuje wystarczająco wartości kontrolowanych przez użytkownika, które są następnie umieszczane w eksportach CSV. Atakujący może wstrzyknąć wartości rozpoczynające się od znaków formuł arkusza kalkulacyjnego (=, +, -, @), które po otwarciu pliku CSV w arkuszu mogą zostać zinterpretowane jako formuły i wykonać niezamierzone akcje. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.
Ocena ryzyka
Organizacja korzystająca z OTRS może być narażona na ataki, w których złośliwe formuły w eksportowanych plikach CSV mogą prowadzić do ujawnienia informacji lub wywołania zewnętrznych funkcji po otwarciu pliku przez użytkownika. Wymaga to interakcji użytkownika (potwierdzenia ostrzeżeń bezpieczeństwa), ale może skutkować poważnymi konsekwencjami.
Rekomendacja
Zaktualizuj OTRS do wersji 2026.7.X lub nowszej, która naprawia tę podatność. Dodatkowo rozważ wdrożenie polityki ostrożnego otwierania plików CSV pochodzących z OTRS oraz szkolenie użytkowników w zakresie ryzyka formuł w arkuszach kalkulacyjnych.
Inne podatności w OTRS
Zobacz wszystkie- CVE-2026-78359Średnie
OTRS nie egzekwuje wystarczająco unikalności tożsamości użytkowników-klietnów w wielu skonfigurowanych backendach CustomerUser. Gdy skonfigurowano wiele backendów (np. baza danych i LDAP), sprawdzanie unikalności adresów e-mail odbywa się tylko w wybranym backendzie, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia/modyfikacji użytkowników-klietnów utworzyć konto z adresem e-mail już istniejącym w innym backendzie. Może to prowadzić do powiązania informacji lub komunikacji e-mail z niewłaściwym użytkownikiem. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.
- CVE-2026-78358Średnie
W systemie OTRS wykryto podatność CSRF, która pozwala nieuwierzytelnionemu atakującemu wymusić na przeglądarce zalogowanego administratora wykonanie akcji administracyjnych, takich jak czyszczenie logów DBUpdate, bez odpowiedniej weryfikacji tokenu ChallengeToken. Atak może zostać przeprowadzony poprzez osadzenie spreparowanego żądania GET na złośliwej stronie internetowej. Skuteczne wykorzystanie może usunąć istniejące wpisy logów DBUpdate, ograniczając dostępność informacji diagnostycznych i historycznych używanych do rozwiązywania problemów i audytów.
- CVE-2026-78356Średnie
Endpoint konfiguracji OTRS Agent Frontend może być dostępny bez uwierzytelnienia. Pozwala to nieuwierzytelnionym zdalnym użytkownikom na pobranie wewnętrznej konfiguracji aplikacji przeznaczonej dla uwierzytelnionego Agent Frontend. Ujawnione informacje mogą obejmować trasy frontendu i powiązane grupy autoryzacyjne, konfigurację uwierzytelniania, włączone funkcje produktu, ustawienia integracji z zewnętrznymi systemami i inne szczegóły implementacji. Podatność dotyczy wersji 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X.
- CVE-2026-78355Wysokie
Podatność typu path traversal w funkcji SendSupportBundle w OTRS pozwala uwierzytelnionemu administratorowi odwoływać się do ścieżek plików poza zamierzonym katalogiem, co może umożliwić usunięcie plików dostępnych dla procesu aplikacji OTRS.
- CVE-2026-48212Średnie
Administrator OTRS może wprowadzić dowolny kod JavaScript do treści niestandardowej strony OTRS, który jest przechowywany przez aplikację i wykonywany w przeglądarce użytkowników odwiedzających tę stronę. Podatność dotyczy wersji OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X.
- CVE-2026-48211Średnie
Uwierzytelniony administrator może zostać nakłoniony do usunięcia administracyjnych szablonów Import/Export poprzez atak CSRF. Akcja AdminImportExport::TemplateDelete nie waliduje tokenu ChallengeToken, co pozwala zdalnemu atakującemu na wykonanie złośliwego żądania z uprawnieniami aktywnej sesji administratora. Podatność dotyczy OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.7.X, a także Community Edition 6.x i wcześniejszych.
- CVE-2026-78357Krytyczne
W OTRS wcześniej wydane tokeny uwierzytelniające (JWT) nie są natychmiast unieważniane po dezaktywacji konta agenta lub klienta albo po zmianie hasła. Token może pozostać ważny aż do swojego zwykłego czasu wygaśnięcia, czyli około 16 godzin. Atakujący, który wcześniej zdobył ważny token, może nadal korzystać z OTRS z uprawnieniami danego konta.
- CVE-2026-48188Krytyczne
Nieprawidłowa walidacja danych wejściowych w module bazy danych OTRS i ((OTRS)) Community Edition umożliwia nieuwierzytelnioną iniekcję SQL, co może prowadzić do ominięcia uwierzytelniania. Problem dotyczy tylko systemów, w których serwer MySQL/MariaDB jest skonfigurowany z trybem SQL NO_BACKSLASH_ESCAPES.
- CVE-2026-48209Wysokie
W OTRS i ((OTRS)) Community Edition stwierdzono podatność na ataki XSS (refleksyjne) w obsłudze zgłoszeń. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane parametry żądania związane z akcjami zgłoszeń, co prowadzi do wykonania skryptu w kontekście sesji agenta po otwarciu spreparowanego linku.
- CVE-2026-48208Średnie
Niewłaściwa neutralizacja aktywnej treści SVG w renderowaniu artykułów zgłoszeń w OTRS lub ((OTRS)) Community Edition pozwala atakującym na wstrzyknięcie specjalnie spreparowanych ładunków SVG przez treść e-maila. Prowadzi to do wyczerpania zasobów po stronie przeglądarki i odmowy usługi po otwarciu dotkniętego zgłoszenia przez agenta lub klienta. Problem można wykorzystać bez wykonywania JavaScript i nie jest łagodzony przez skonfigurowaną Politykę Bezpieczeństwa Treści (CSP).
Oryginalny opis (angielski, źródło NVD)
User-controlled values are not sufficiently neutralized when included in CSV exports. Values originating from user input, including data submitted by authenticated users or received through external communication channels such as email, may be stored in fields that are later included in CSV exports. An attacker can therefore inject values beginning with spreadsheet formula characters such as =, +, -, or @. An attacker does not necessarily require an authenticated account if the affected field can be populated through an external input channel such as incoming email. When an affected CSV file is opened in spreadsheet software, the application may interpret these values as formulas instead of plain text. Depending on the spreadsheet application and its security configuration, a malicious formula may cause unintended actions, disclose information, or invoke external functionality. Exploitation may require the user opening the exported CSV file to confirm one or more security warning dialogs. The vulnerability does not execute code on the OTRS server; any additional impact occurs in the spreadsheet application used to process the exported file. This issue affects OTRS: * 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X before 2026.7.X Please note that ((OTRS)) Community Edition 6.x and before are vulnerable. Products based on the ((OTRS)) Community Edition also very likely to be affected
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS