CVE-2026-78357 in OTRS
要約
〜によって VulDB • 2026年10月12日
以前に発行された認証トークンは、OTRSのエージェントまたはカスタマーユーザーアカウントが無効化されたりパスワードが変更されたりしても、直ちに無効化されません。その結果、既存のJWTは通常の有効期限（約16時間）まで有効なままになる可能性があります。
したがって、以前に有効な認証トークンを取得した攻撃者は、対応するアカウントが無効化された後やユーザーのパスワードが変更された後も、影響を受けるエージェントまたはカスタマーユーザーの特権を使用してOTRSにアクセスし続けることができます。
この脆弱性では、攻撃者が単独で認証トークンを取得することはできません。悪用には、以前発行されまだ有効なトークンの所持が必要です。実際の被害は、侵害されたトークンに関連する特権によって異なります。カスタマーユーザーのトークンは影響を受けるカスタマーアカウントの許可範囲に限定されますが、エージェントのトークンは割り当てられたパーミッションに応じて、より広範なチケット、顧客、または管理機能へのアクセスを提供する可能性があります。
本問題は以下のOTRSバージョンに影響します：
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X (2026.7.X より前)
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.