CVE-2026-78355 in OTRS
الملخص
بحسب VulDB • 12/10/2026
تتيح ثغرة عبور المسار (Path Traversal) في وظيفة SendSupportBundle الخاصة بـ OTRS لمسؤول مُصادَق عليه الإشارة إلى مسارات ملفات خارج الدليل المقصود.
قد يسمح ذلك بحذف الملفات التي يمكن لعميل تطبيق OTRS الوصول إليها. لا تتجاوز الثغرة أذونات نظام الملفات لنظام التشغيل. بالنسبة لإصدارات OTRS السابقة على الإصدار 7، تكون الأذونات الفورية لعملية خادم الويب ذات صلة. بدءاً من OTRS 7، يتم تقييد الوصول بواسطة أذونات مستخدم OTRS المخصص. قد تتأثر أيضاً الملفات التي تمتلك ملكية أو أذونات نظام ملفات متساهلة بشكل مفرط.
قد تحاول الوظيفة المتضررة بالإضافة إلى ذلك تضمين ملفات خاضعة للتحكم في حزمة دعم (support bundle). ومع ذلك، تُرسل حزم الدعم إلى عنوان دعم OTRS محدد مسبقاً، ولم يتم إثبات الكشف المباشر عن أي ملفات عشوائية للمهاجم.
لذلك يتطلب من المهاجم امتلاك وصول إداري صالح لاستغلال الوظيفة المتضررة. الأثر الرئيسي المُثبت هو حذف الملفات خارج الدليل المقصود ضمن نطاق الأذونات الفورية لعميل تطبيق OTRS.
تؤثر هذه المشكلة على منتجات OTRS التالية:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X قبل الإصدار 2026.7.X
يرجى ملاحظة أن ((OTRS)) Community Edition الإصدارات 6.x وما قبلها معرضة للثغرة. ومن المرجح جداً أيضاً تأثر المنتجات المبنية على ((OTRS)) Community Edition.
If you want to get best quality of vulnerability data, you may have to visit VulDB.