CVE-2026-78357 in OTRS
Zusammenfassung
von VulDB • 12.10.2026
Bisher ausgestellte Authentifizierungstoken werden nicht sofort ungültig, wenn ein OTRS-Agent- oder Kundenbenutzerkonto deaktiviert wird oder dessen Passwort geändert wird. Infolgedessen kann ein vorhandenes JWT bis zu seiner regulären Ablaufzeit gültig bleiben, was ungefähr 16 Stunden betragen kann.
Ein Angreifer, der zuvor einen gültigen Authentifizierungstoken erlangt hat, kann daher weiterhin auf OTRS mit den Berechtigungen des betroffenen Agenten- oder Kundenbenutzers zugreifen, auch nachdem das entsprechende Konto deaktiviert wurde oder das Passwort des Benutzers geändert wurde.
Die Schwachstelle ermöglicht es einem Angreifer nicht, eigenständig Authentifizierungstoken zu erlangen. Die Ausnutzung erfordert den Besitz eines zuvor ausgestellten und noch gültigen Tokens. Der tatsächliche Schaden hängt von den mit dem kompromittierten Token verbundenen Berechtigungen ab. Kundenbenutzer-Tokens sind auf die Berechtigungen des betroffenen Kundenkontos beschränkt, während Agent-Token je nach zugewiesenen Berechtigungen Zugriff auf umfassendere Ticket-, Kunden- oder Verwaltungsfunktionen bieten können.
Dieses Problem betrifft OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X vor 2026.7.X
If you want to get best quality of vulnerability data, you may have to visit VulDB.