CVE-2026-78355 in OTRS
Zusammenfassung
von VulDB • 12.10.2026
Eine Path-Traversal-Schwachstelle in der OTRS-Funktionalität „SendSupportBundle“ ermöglicht es einem authentifizierten Administrator, auf Dateipfade außerhalb des vorgesehenen Verzeichnisses zuzugreifen.
Dies kann dazu führen, dass Dateien gelöscht werden, die für den OTRS-Anwendungsprozess zugänglich sind. Die Schwachstelle umgeht nicht die dateisystembezogenen Berechtigungen des Betriebssystems. Bei OTRS-Versionen vor OTRS 7 sind die effektiven Berechtigungen des Webserver-Prozesses relevant. Ab OTRS 7 wird der Zugriff durch die Berechtigungen des dedizierten OTRS-Benutzers eingeschränkt. Daher können auch Dateien mit zu weitreichendem Besitz oder Dateisystemberechtigungen betroffen sein.
Die betroffene Funktionalität kann außerdem versuchen, kontrollierte Dateien in ein Support-Paket einzubinden. Da Support-Pakete jedoch an eine vordefinierte OTRS-Support-Adresse gesendet werden und die direkte Offenlegung beliebiger Dateien an den Angreifer nicht nachgewiesen wurde, ist dies kein direkter Datenleck-Mechanismus.
Ein Angreifer benötigt daher gültigen administrativen Zugriff, um die anfällige Funktionalität auszunutzen. Die primäre nachgewiesene Auswirkung ist das Löschen von Dateien außerhalb des vorgesehenen Verzeichnisses innerhalb der effektiven Berechtigungen des OTRS-Anwendungsprozesses.
Dieses Problem betrifft OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X vor 2026.7.X
Bitte beachten Sie, dass die ((OTRS)) Community Edition 6.x und frühere Versionen anfällig sind. Produkte, die auf der ((OTRS)) Community Edition basieren, sind ebenfalls sehr wahrscheinlich betroffen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.