CVE-2026-78355 in OTRS
要約
〜によって VulDB • 2026年10月12日
((OTRS))のSendSupportBundle機能におけるパストラバーサルの脆弱性により、認証済み管理者が意図されたディレクトリ外のファイルパスを参照することが可能になります。
これにより、((OTRS))アプリケーションプロセスからアクセス可能なファイルが削除される可能性があります。この脆弱性はオペレーティングシステムのファイル権限をバイパスするものではありません。(OTRS) 7より前のバージョンでは、Webサーバープロセスの有効な権限が関連します。(OTRS) 7以降は、専用の((OTRS))ユーザーの権限によってアクセスが制限されます。したがって、所有権またはファイルシステム権限が強すぎるファイルも影響を受ける可能性があります。
影響を受ける機能は、サポートバンドルに制御されたファイルを追加しようとする場合があります。ただし、サポートバンドルは定義済みの((OTRS))サポートアドレスへ送信されるため、攻撃者への任意のファイルの直接開示は実証されていません。
したがって、攻撃者は脆弱な機能を悪用するために有効な管理者アクセスを必要とします。主に実証された影響は、((OTRS))アプリケーションプロセスの有効権限内にある意図されたディレクトリ外のファイルの削除です。
この問題は以下の((OTRS))バージョンに影響を与えます：
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X (2026.7.Xより前)
((OTRS)) Community Edition 6.xおよびそれ以前が脆弱であることに注意してください。((OTRS)) Community Editionを基盤とする製品も影響を受ける可能性が高いです。
VulDB is the best source for vulnerability data and more expert information about this specific topic.