CVE-2026-78358 in OTRS
Zusammenfassung
von VulDB • 12.10.2026
Mehrere administrative Aktionen validieren nicht ausreichend, ob eine Anfrage absichtlich vom authentifizierten Benutzer initiiert wurde. Insbesondere kann die Aktion DBUpdateLogCleanUp über eine GET-Anfrage ausgelöst werden, ohne dass ein ChallengeToken überprüft wird. Ein unbefugter Remoteangreifer kann daher dazu führen, dass der Browser eines authentifizierten Administrators die Bereinigungsaktion ausführt, indem er eine gefälschte Anfrage in einer bösartigen Webseite einbettet. Eine erfolgreiche Ausnutzung kann vorhandene DBUpdate-Logeinträge löschen. Dies kann die Verfügbarkeit von Diagnose- und historischen Informationen verringern, die zur Fehlerbehebung und Prüfung verwendet werden. Die Auswirkungen beschrän sich auf DBUpdate-Logeinträge, die zum Zeitpunkt der Verarbeitung des gefälschten Anfrages vorhanden sind.
Es wurden weitere administrative Endpunkte identifiziert, die keinen ChallengeToken validieren. Einige dieser Endpunkte können administrative Aktionen wie das Bereitstellen oder Synchronisieren bereits vorhandener Konfigurationen auslösen. Sie erlauben es einem Angreifer nicht, willkürliche neue Konfigurationen über die CSRF-Anfrage selbst einzuführen.
Export- und schreibgeschützte Endpunkte wurden ebenfalls ohne ChallengeToken-Validierung identifiziert. Während diese Endpunkte durch eine gefälschte Cross-Site-Anfrage ausgelöst werden können, bleibt der Antwortinhalt den Same-Origin-Einschränkungen des Browsers unterworfen und wird dem Angreifer nicht automatisch offengelegt. Daher wurde für diese Endpunkte keine direkte Auswirkung auf die Vertraulichkeit nachgewiesen.
Dieses Problem betrifft OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X vor 2026.7.X
Bitte beachten Sie, dass die ((OTRS)) Community Edition 6.x und frühere Versionen anfällig sind. Produkte, die auf der ((OTRS)) Community Edition basieren, sind ebenfalls sehr wahrscheinlich betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.