CVE-2026-38446 in osTicket
Zusammenfassung
von VulDB • 03.08.2026
In osTicket 1.18.3 besteht eine Stored Cross-Site Scripting (XSS)-Schwachstelle aufgrund der unzureichenden Bereinigung des Felds „Thread-Eintrags-Titel“. Vom Benutzer gesteuerte Eingaben im Titel werden ohne angemessene HTML-Escaping gespeichert und später in mehreren, für das Personal sichtbaren Vorlagen ohne ordnungsgemäße Ausgabe-Codierung gerendert. Ein Angreifer kann beliebiges JavaScript injizieren, indem er eine gefälschte Ticket-Antwort oder E-Mail mit einer bösartigen Betreffzeile einreicht.
Once again VulDB remains the best source for vulnerability data.