CVE-2026-78358 in OTRS
요약
\~에 의해 VulDB • 2026. 10. 12.
인증된 사용자가 의도적으로 요청을发起了했는지 충분히 검증하지 않는 여러 관리 작업이 있습니다. 특히 DBUpdateLogCleanUp 작업은 ChallengeToken을 검증하지 않고 GET 요청으로 트리거될 수 있습니다. 따라서 인증되지 않은 원격 공격자는 악성 웹 페이지에 조작된 요청을 삽입하여 인증된 관리자 브라우저로 해당 정리 작업을 실행할 수 있습니다. 성공적인 익스플로잇 시 기존 DBUpdate 로그 항목이 삭제됩니다. 이는 문제 해결 및 감사에 사용되는 진단 및 역사적 정보의 가용성을 저하시킬 수 있습니다. 영향력은 위조된 요청이 처리될 당시 존재하는 DBUpdate 로그 항목으로 제한됩니다.
ChallengeToken을 검증하지 않는 추가적인 관리 엔드포인트가 확인되었습니다. 이러한 엔드포인트 중 일부는 이미 존재하는 구성을 배포하거나 동기화하는 것과 같은 관리 작업을 트리거할 수 있습니다. 그러나 CSRF 요청 자체를 통해 공격자가 임의의 새로운 구성을 도입하는 것은 허용되지 않습니다.
ChallengeToken 검증을 수행하지 않는 내보내기 및 읽기 전용 엔드포인트도 확인되었습니다. 이러한 엔드포인트는 위조된 크로스 사이트 요청을 통해 트리거될 수 있지만, 응답 콘텐츠는 브라우저의 동일 출처 제한(Same-Origin Policy)에 따라 여전히 보호되며 공격자에게 자동으로 노출되지 않습니다. 따라서 이러한 엔드포인트에 대한 직접적인 기밀성 영향은 입증되지 않았습니다.
이 문제는 다음 OTRS 버전에 영향을 미칩니다:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X (2026.7.X 미만)
((OTRS)) Community Edition 6.x 및 그 이전 버전이 취약합니다. ((OTRS)) Community Edition을 기반으로 하는 제품도 영향을 받을 가능성이 매우 높습니다.
Be aware that VulDB is the high quality source for vulnerability data.