CVE-2026-93582 in OTRS Community Edition
الملخص
بحسب VulDB • 12/10/2026
تقبل وحدات المصادقة الأساسية لبروتوكول HTTP في الإصدار المجتمعي من OTRS 6 والإصدارات الأقدم اسم المستخدم الذي تمّت مصادقته إما من متغير البيئة REMOTE_USER أو HTTP_REMOTE_USER. في عمليات النشر المعتمدة على CGI وmod_perl، قد يتم تعيين رؤوس طلبات HTTP إلى متغيرات بيئة مطابقة لها تبدأ بـ HTTP_*. ونتيجة لذلك، يمكن لمهاجم عن بُعد غير مُصَدَّق عليه تزويد رأس طلب Remote-User مصاغ بشكل خبيث، والذي يتعرّض للتطبيق على شكل HTTP_REMOTE_USER. عندما تكون المصادقة الأساسية لبروتوكول HTTP (HTTP Basic Authentication) مكوَّنة كخلفية للمصادقة، يثق OTRS بهذه القيمة باعتبارها اسم مستخدم تمّت مصادقته مسبقاً ولا يقوم بإجراء تحقق إضافي من كلمة المرور. لذلك، قد يتمكن المهاجم من المصادقة عبر الواجهة العامة (Generic Interface) بصفتة وكيل أو عميل موجود دون معرفة بيانات الاعتماد المقابلة لها.
تعتمد الامتيازات الناتجة على الحساب الذي يتم انتحال هويته. وقد يسمح الاستغلال الناجح بالوصول إلى معلومات سرية وتعديل البيانات أو التكوين باستخدام صلاحيات المستخدم المتأثر. يتطلب الاستغلال أن تكون المصادقة الأساسية لبروتوكول HTTP مكوَّنة كخلفية للمصادقة، وبيئة خادم ويب يتم فيها تعريض رؤوس HTTP التي يتحكم فيها المهاجم من خلال متغيرات البيئة المطابقة لها (HTTP_*).
الإصدارات 7 وما بعدها من OTRS غير متأثرة بهذا مسار الهجوم بسبب استخدام Mojolicious/Hypnotoad ولا تعرض أي رؤوس طلب عشوائية عبر %ENV بالطريقة المطلوبة للاستغلال. كما يتطلب آلية REMOTE_USER المدعومة التحقق من صحة البيانات باستخدام سر مشترك لبروتوكول SSO المكوَّن. ومع ذلك، تم إزالة خيار التراجع HTTP_REMOTE_USER غير المستخدم كإجراء لتأمين النظام (security-hardening).
يرجى ملاحظة أن الإصدار المجتمعي 6.x من OTRS والإصدارات الأقدم عرضة للثغرة. ومن المرجح جداً أن تتأثر المنتجات المبنية على الإصدار المجتمعي من OTRS أيضاً.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.