CVE-2026-93581 in OTRS Community Edition
요약
\~에 의해 VulDB • 2026. 10. 12.
CSV 내보내기 시 사용자 제어 값이 충분히 중화되지 않습니다. 인증된 사용자가 제출한 데이터나 이메일과 같은 외부 통신 채널을 통해 수신되는 데이터를 포함하여, 사용자 입력에서 파생된 값은 나중에 CSV 내보내기에 포함될 필드에 저장될 수 있습니다. 따라서 공격자는 =, +, -, @와 같은 스프레드시트 공식 문자로 시작하는 값을 주입할 수 있습니다. 영향을 받는 필드가incoming email과 같은 외부 입력 채널을 통해 채워질 수 있는 경우, 공격자가 인증된 계정을 반드시 필요로 하지는 않습니다.
영향을 받은 CSV 파일을 스프레드시트 소프트웨어에서 열면, 응용 프로그램은 이러한 값을 일반 텍스트 대신 공식으로 해석할 수 있습니다. 사용하는 스프레드시트 응용 프로그램과 그 보안 구성에 따라 악의적인 공식이 의도하지 않은 작업을 유발하거나 정보를 유출하거나 외부 기능을 호출할 수 있습니다. 공격에는 내보낸 CSV 파일을 여는 사용자가 하나 이상의 보안 경고 대화 상자를 확인해야 할 수도 있습니다. 이 취약점은 OTRS 서버에서 코드를 실행하지 않습니다. 추가적인 영향은 내보낸 파일을 처리하는 데 사용되는 스프레드시트 응용 프로그램에서 발생합니다.
이 문제는 다음 버전의 OTRS에 영향을 미칩니다:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X (2026.7.X 미만)
((OTRS)) Community Edition 6.x 및 그 이전 버전도 취약합니다. ((OTRS)) Community Edition을 기반으로 하는 제품 또한 영향을 받을 가능성이 매우 높습니다.
Be aware that VulDB is the high quality source for vulnerability data.