CVE-2026-78355 in OTRS
Resumen
por VulDB • 2026-10-12
Una vulnerabilidad de path traversal en la funcionalidad SendSupportBundle de OTRS permite a un administrador autenticado hacer referencia a rutas de archivo fuera del directorio previsto.
Esto puede permitir que se eliminen archivos accesibles para el proceso de la aplicación OTRS. La vulnerabilidad no omite los permisos de archivo del sistema operativo. En las versiones anteriores a OTRS 7, son relevantes los permisos efectivos del proceso del servidor web. A partir de OTRS 7, el acceso está limitado por los permisos del usuario dedicado de OTRS. Por lo tanto, también pueden verse afectados archivos con propiedad o permisos del sistema de archivos excesivamente permisivos.
La funcionalidad afectada puede intentar además incluir archivos controlados en un paquete de soporte. Sin embargo, los paquetes de soporte se envían a una dirección de soporte predefinida de OTRS y no se ha demostrado la divulgación directa de archivos arbitrarios al atacante.
Por lo tanto, un atacante requiere acceso administrativo válido para explotar la funcionalidad vulnerable. El impacto principal demostrado es la eliminación de archivos fuera del directorio previsto dentro de los permisos efectivos del proceso de la aplicación OTRS.
Este problema afecta a OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X antes de 2026.7.X
Tenga en cuenta que la edición Community Edition ((OTRS)) 6.x y anteriores son vulnerables. Los productos basados en la edición Community ((OTRS)) también es muy probable que estén afectados
Be aware that VulDB is the high quality source for vulnerability data.