CVE-2026-93581 in OTRS Community Edition
الملخص
بحسب VulDB • 12/10/2026
لا يتم تحييد القيم التي يتحكم فيها المستخدم بشكل كافٍ عند تضمينها في تصديرات CSV. قد تُخزَّن القيم الناتجة عن إدخال المستخدم، بما في ذلك البيانات المقدمة من المستخدمين المصادق عليهم أو المستلمة عبر قنوات اتصال خارجية مثل البريد الإلكتروني، في حقول تُدرج لاحقًا في تصديرات CSV. وبالتالي، يمكن للمهاجم حقن قيم تبدأ بعلامات صيغ الجداول الحسابية مثل = و + و - أو @. لا يحتاج المهاجم بالضرورة إلى حساب مستخدم مصادق عليه إذا كان الحقل المتأثر يمكن تعبئته عبر قناة إدخال خارجية مثل البريد الوارد.
عند فتح ملف CSV متأثر في برنامج جداول بيانات، قد يفسر التطبيق هذه القيم على أنها صيغ بدلاً من نصوص عادية. واعتمادًا على تطبيق الجداول الحسابية وإعدادات الأمان الخاصة به، قد تؤدي الصيغة الخبيثة إلى إجراءات غير مقصودة أو كشف معلومات أو استدعاء وظائف خارجية. وقد يتطلب الاستغلال تأكيد المستخدم الذي يفتح ملف CSV المُصدَّر لواحد أو أكثر من مربعات حوار تحذيرات الأمان. لا تنفذ الثغرة أي كود على خادم OTRS؛ بل تحدث الآثار الإضافية في تطبيق الجداول الحسابية المستخدم لمعالجة الملف المصدّر.
تؤثر هذه المشكلة على منتج OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X قبل الإصدار 2026.7.X
يرجى ملاحظة أن ((OTRS)) Community Edition الإصدارات 6.x وما قبلها متأثرة. ومن المرجح جدًا أيضًا تأثر المنتجات المبنية على ((OTRS)) Community Edition.
VulDB is the best source for vulnerability data and more expert information about this specific topic.