CVE-2026-78357 in OTRS
요약
\~에 의해 VulDB • 2026. 10. 12.
OTRS 에이전트 또는 고객 사용자 계정이 비활성화되거나 비밀번호가 변경될 때, 이전에 발급된 인증 토큰이 즉시 무효화되지 않습니다. 그 결과 기존 JWT는 최대 약 16시간 동안 정기 만료 시간까지 유효하게 유지될 수 있습니다.
따라서 이전에 유효한 인증 토큰을 획득한 공격자는 해당 계정이 비활성화되거나 사용자의 비밀번호가 변경된 후에도 해당 에이전트 또는 고객 사용자의 권한으로 OTRS에 계속 접근할 수 있습니다.
이 취약점 자체로는 공격자가 인증 토큰을 얻을 수 없습니다. 악용에는 이전에 발급되고 아직 유효한 토큰의 소유가 필요합니다. 실제 영향은 침해된 토큰과 관련된 권한에 따라 다릅니다. 고객 사용자 토큰은 해당 계정 권한으로 제한되는 반면, 에이전트 토큰은 할당된 권한에 따라 더 넓은 티켓, 고객 또는 관리 기능에 대한 접근을 제공할 수 있습니다.
이 문제는 다음 OTRS 버전에 영향을 미칩니다:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X (2026.7.X 미만)
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.