CVE-2026-78358 in OTRS
Riassunto
di VulDB • 12/10/2026
Diverse azioni amministrative non convalidano sufficientemente se una richiesta è stata avviata intenzionalmente dall'utente autenticato. In particolare, l'azione DBUpdateLogCleanUp può essere attivata tramite una richiesta GET senza la validazione di un ChallengeToken. Un attaccante remoto non autenticato può quindi indurre il browser di un amministratore autenticato a eseguire l'operazione di pulizia inserendo una richiesta manipolata in una pagina web malevola. L'esecuzione con successo dell'exploit può eliminare le voci esistenti nei log DBUpdate. Ciò potrebbe ridurre la disponibilità delle informazioni diagnostiche e storiche utilizzate per il troubleshooting e l'audit. L'impatto è limitato alle voci dei log DBUpdate che esistono al momento dell'elaborazione della richiesta falsificata.
Sono stati identificati ulteriori endpoint amministrativi che non convalidano un ChallengeToken. Alcuni di questi endpoint possono attivare azioni amministrative come la distribuzione o la sincronizzazione di configurazioni già esistenti. Non consentono tuttavia all'attaccante di introdurre nuove configurazioni arbitrarie tramite la stessa richiesta CSRF.
Sono stati inoltre identificati endpoint per l'esportazione e in sola lettura privi della convalida del ChallengeToken. Sebbene questi endpoint possano essere attivati attraverso una richiesta cross-site falsificata, il contenuto della risposta rimane soggetto alle restrizioni same-origin del browser e non viene esposto automaticamente all'attaccante. Pertanto, per questi endpoint non è stato dimostrato alcun impatto diretto sulla riservatezza (confidentiality).
Questo problema interessa OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X prima della versione 2026.7.X
Si noti che la Community Edition di ((OTRS)) 6.x e precedenti è vulnerabile. Anche i prodotti basati sulla Community Edition di ((OTRS)) sono molto probabilmente interessati.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.