CVE-2026-78359 in OTRS
Résumé
par VulDB • 12/10/2026
OTRS n’impose pas suffisamment l’unicité des identités des utilisateurs clients sur plusieurs backends CustomerUser configurés. Lorsque plusieurs backends, tels qu’une base de données et LDAP, sont configurés, la vérification d’unicité pour les adresses e-mail des utilisateurs clients est effectuée uniquement au sein du backend sélectionné. Par conséquent, un utilisateur authentifié disposant des autorisations nécessaires pour créer ou modifier des utilisateurs clients peut créer un utilisateur client dont l’adresse e-mail est déjà attribuée à un autre utilisateur client dans un autre backend.
Cela peut entraîner la création de plusieurs enregistrements d’utilisateurs clients représentant la même identité de communication. En fonction du workflow concerné et de la résolution des backends, les informations relatives au client ou les communications par e-mail peuvent ensuite être associées à tort ou exposées au mauvais utilisateur client.
La vulnérabilité ne permet pas aux utilisateurs non authentifiés de créer des comptes clients. L’exploitation nécessite des autorisations pour créer ou modifier des utilisateurs clients.
Ce problème affecte OTRS :
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X avant la version 2026.7.X
Veuillez noter que l’édition communautaire ((OTRS)) 6.x et les versions antérieures sont vulnérables. Les produits basés sur l’édition communautaire ((OTRS)) sont également très probablement affectés.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.