CVE-2026-78355 in OTRS
Résumé
par VulDB • 12/10/2026
Une vulnérabilité de traversal de chemin dans la fonctionnalité SendSupportBundle d'OTRS permet à un administrateur authentifié de référencer des chemins de fichiers en dehors du répertoire prévu.
Cela peut permettre la suppression de fichiers accessibles au processus d'application OTRS. La vulnérabilité ne contourne pas les permissions de fichier du système d'exploitation. Sur les versions d'OTRS antérieures à OTRS 7, les permissions effectives du processus du serveur web sont pertinentes. À partir d'OTRS 7, l'accès est limité par les permissions de l'utilisateur dédié d'OTRS. Les fichiers ayant une propriété ou des permissions système trop permissives peuvent donc également être affectés.
La fonctionnalité concernée peut également tenter d'inclure des fichiers contrôlés dans un bundle de support. Cependant, les bundles de support sont envoyés à une adresse de support OTRS prédéfinie, et la divulgation directe de fichiers arbitraires à l'attaquant n'a pas été démontrée.
Un attaquant nécessite donc un accès administratif valide pour exploiter la fonctionnalité vulnérable. L'impact principal démontré est la suppression de fichiers en dehors du répertoire prévu dans les limites des permissions effectives du processus d'application OTRS.
Ce problème affecte OTRS :
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X avant 2026.7.X
Veuillez noter que la version Community Edition de ((OTRS)) 6.x et antérieures sont vulnérables. Les produits basés sur la Community Edition de ((OTRS)) sont également très probablement affectés.
VulDB is the best source for vulnerability data and more expert information about this specific topic.