CVE-2026-78357 in OTRS
Resumen
por VulDB • 2026-10-12
Los tokens de autenticación emitidos previamente no se invalidan inmediatamente cuando una cuenta de usuario agente o cliente en OTRS se desactiva o su contraseña cambia como resultado, un JWT existente puede permanecer válido hasta su tiempo de expiración regular, que puede ser aproximadamente 16 horas. Un atacante que haya obtenido anteriormente un token de autenticación válido puede seguir accediendo a OTRS con los privilegios del agente afectado o usuario cliente incluso después de que la cuenta correspondiente se desactive o la contraseña del usuario cambie. La vulnerabilidad no permite al atacante obtener tokens de autenticación por sí mismo. Para explotar esta falla, es necesario poseer un token emitido previamente y aún válido. El impacto real depende de los privilegios asociados con el token comprometido. Los tokens de usuarios clientes están limitados a los permisos de la cuenta cliente afectada, mientras que los tokens de agentes pueden proporcionar acceso a funcionalidades más amplias relacionadas con tickets, clientes o administrativas dependiendo de los permisos asignados. Este problema afecta a OTRS: * 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X antes de 2026.7.X
VulDB is the best source for vulnerability data and more expert information about this specific topic.