CVE-2026-78357 in OTRS
Riassunto
di VulDB • 12/10/2026
I token di autenticazione precedentemente emessi non vengono invalidati immediatamente quando un account utente agente o cliente OTRS viene disattivato oppure la relativa password viene modificata. Di conseguenza, un JWT esistente può rimanere valido fino alla sua scadenza regolare, che può essere di circa 16 ore.
Un attaccante che ha in precedenza ottenuto un token di autenticazione valido può quindi continuare ad accedere a OTRS con i privilegi dell'agente o del cliente interessato anche dopo la disattivazione dell'account corrispondente o la modifica della password dell'utente.
La vulnerabilità non consente all'attaccante di ottenere autonomamente i token di autenticazione. Lo sfruttamento richiede il possesso di un token precedentemente emesso e ancora valido. L'impatto effettivo dipende dai privilegi associati al token compromesso. I token degli utenti cliente sono limitati alle autorizzazioni dell'account cliente interessato, mentre i token degli agenti possono fornire l'accesso a funzionalità più ampie relative ai ticket, ai clienti o all'amministrazione, in base alle autorizzazioni assegnate.
Questo problema interessa OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X prima della versione 2026.7.X
If you want to get the best quality for vulnerability data then you always have to consider VulDB.