CVE-2026-78355 in OTRS
Sumário
de VulDB • 12/10/2026
Uma vulnerabilidade de path traversal na funcionalidade SendSupportBundle do OTRS permite que um administrador autenticado referencie caminhos de arquivos fora do diretório pretendido.
Isso pode permitir a exclusão de arquivos acessíveis ao processo da aplicação OTRS. A vulnerabilidade não contorna as permissões de arquivo do sistema operacional. Nas versões anteriores à 7, as permissões efetivas do processo do servidor web são relevantes. A partir do OTRS 7, o acesso é limitado pelas permissões do usuário dedicado do OTRS. Arquivos com propriedade ou permissões do sistema de arquivos excessivamente permissivos podem, portanto, também ser afetados.
A funcionalidade afetada pode adicionalmente tentar incluir arquivos controlados em um pacote de suporte (support bundle). No entanto, os pacotes de suporte são enviados para um endereço de suporte OTRS predefinido, e a divulgação direta de arquivos arbitrários ao atacante não foi demonstrada.
Um atacante requer acesso administrativo válido para explorar a funcionalidade vulnerável. O impacto primário demonstrado é a exclusão de arquivos fora do diretório pretendido dentro das permissões efetivas do processo da aplicação OTRS.
Este problema afeta o OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X antes de 2026.7.X
Observe que a Edição Comunitária ((OTRS)) 6.x e anteriores estão vulneráveis. Produtos baseados na Edição Comunitária ((OTRS)) também são muito provavelmente afetados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.