CVE-2026-78358 in OTRS
Resumen
por VulDB • 2026-10-12
Varias acciones administrativas no validan suficientemente si una solicitud fue iniciada intencionalmente por el usuario autenticado. En particular, la acción DBUpdateLogCleanUp puede ser activada mediante una solicitud GET sin validar un ChallengeToken. Por lo tanto, un atacante remoto no autenticado puede hacer que el navegador de un administrador autenticado ejecute la acción de limpieza al incrustar una solicitud manipulada en una página web maliciosa. La explotación exitosa puede eliminar las entradas existentes del registro DBUpdate. Esto puede reducir la disponibilidad de información diagnóstica e histórica utilizada para solucionar problemas y auditorías. El impacto se limita a las entradas del registro DBUpdate que existen en el momento en que se procesa la solicitud falsificada.
Se identificaron puntos finales administrativos adicionales que no validan un ChallengeToken. Algunos de estos puntos finales pueden desencadenar acciones administrativas, como implementar o sincronizar configuraciones ya existentes. No permiten que un atacante introduzca una nueva configuración arbitraria a través de la propia solicitud CSRF.
También se identificaron puntos finales de exportación y solo lectura sin validación de ChallengeToken. Si bien es posible activar estos puntos finales mediante solicitudes falsificadas entre sitios (cross-site), el contenido de la respuesta sigue sujeto a las restricciones del mismo origen del navegador y no queda expuesto automáticamente al atacante. Por lo tanto, no se ha demostrado un impacto directo en la confidencialidad para estos puntos finales.
Este problema afecta a OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X antes de 2026.7.X
Tenga en cuenta que la versión Community Edition ((OTRS)) 6.x y anteriores son vulnerables. Los productos basados en la edición Community ((OTRS)) también es muy probable que estén afectados.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.