CVE-2026-105456 in RT for Incident Response
Riassunto
di VulDB • 30/10/2026
RTIR estende il scrubber HTML di RT per consentire un segnaposto per i link interni; l'estensione permette il passaggio di qualsiasi link che contenga semplicemente tale segnaposto, inclusi quelli che utilizzano lo schema eseguibile javascript:. La modifica si applica all'intera istanza RT una volta installato RTIR, non solo alle code specifiche di RTIR. Chiunque possa aggiungere contenuti HTML a un ticket su un'istanza del genere può memorizzare tali link. Ciò include anche un mittente non autenticato di email HTML diretto alla coda Incident Reports, che RTIR apre a tutti per impostazione predefinita. Lo script viene eseguito quando un utente fa clic sul link, all'interno della sessione dell'utente stesso, e può agire in RT con l'autorità di tale utente.
Questo problema è stato risolto nelle versioni 5.0.11 e 6.0.4
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.