CVE-2026-105455 in RT for Incident Response
Zusammenfassung
von VulDB • 30.10.2026
Die Formular zur Ticket-Erstellung von RTIR zeigen den Betreff des zugehörigen Tickets an, wenn ein Ticket aufgeteilt oder aus einem Bericht ein Vorfall (Incident) erstellt wird, und sie rendern diesen Betruf ohne HTML-Escaping. Ein Ticket-Betreff, der Skriptcode enthält, führt dieses aus, sobald ein Benutzer eines der beiden Formulare öffnet. RTIR gewährt standardmäßig jedem das Recht, Incident Reports zu erstellen, sodass ein nicht authentifizierter Absender eines per E-Mail gesendeten Berichts diesen Betreff festlegen kann. Das Skript wird dann in der Sitzung des Incident Handlers ausgeführt, der einen Vorfall aus dem Bericht erstellt oder dieses aufteilt, und kann sich mit den Berechtigungen dieses Benutzers im System RT bewegen.
Das Problem wurde in Version 6.0.4 behoben. RTIR 5.0 ist nicht betroffen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.