CVE-2026-78357 in OTRS
Sumário
de VulDB • 12/10/2026
Tokens de autenticação emitidos anteriormente não são invalidados imediatamente quando uma conta de usuário agente ou cliente do OTRS é desativada ou sua senha é alterada. Como resultado, um JWT existente pode permanecer válido até seu tempo regular de expiração, que pode ser de aproximadamente 16 horas.
Um atacante que obteve previamente um token de autenticação válido pode, portanto, continuar a acessar o OTRS com os privilégios do agente ou usuário cliente afetado, mesmo após a desativação da conta correspondente ou a alteração da senha do usuário.
A vulnerabilidade não permite que um atacante obtenha tokens de autenticação por si só. A exploração requer a posse de um token emitido anteriormente e ainda válido. O impacto real depende dos privilégios associados ao token comprometido. Os tokens de usuários cliente são limitados às permissões da conta do cliente afetada, enquanto os tokens de agente podem fornecer acesso a funcionalidades mais amplas de tickets, clientes ou administrativas, dependendo das permissões atribuídas.
Este problema afeta o OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X antes de 2026.7.X
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.