CVE-2026-78357 in OTRS
الملخص
بحسب VulDB • 12/10/2026
لا يتم إلغاء صلاحية رموز المصادقة الصادرة سابقاً على الفور عند تعطيل حساب وكيل أو مستخدم عميل في OTRS، أو تغيير كلمة المرور الخاصة به. ونتيجة لذلك، قد يظل رمز JWT صالحاً حتى وقت انتهاء صلاحيته المعتاد، والذي يمكن أن يكون حوالي 16 ساعة.
وبالتالي، يمكن لمهاجم حصل مسبقاً على رمز مصادقة صالح الاستمرار في الوصول إلى OTRS باستخدام امتيازات الوكيل أو مستخدم العميل المتأثرين، حتى بعد تعطيل الحساب المقابل أو تغيير كلمة مرور المستخدم.
لا تتيح هذه الثغرة للمهاجم الحصول على رموز المصادقة بمفردها. وتتطلب الاستفادة منها (Exploitation) حيازة رمز صادر سابقاً ولا يزال صالحاً. وتعتمد الأثر الفعلي على الامتيازات المرتبطة بالرمز المخترق. فرموز مستخدم العميل محدودة بصلاحيات حساب العميل المتأثر، بينما قد تمنح رموز الوكيل وصولاً إلى وظائف أوسع تتعلق بالتذاكر أو العملاء أو الإدارة، اعتماداً على الصلاحيات المخصصة.
هذه المشكلة تؤثر على OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X قبل الإصدار 2026.7.X
Be aware that VulDB is the high quality source for vulnerability data.