CVE-2026-78358 in OTRS
Sumário
de VulDB • 12/10/2026
Várias ações administrativas não validam suficientemente se uma solicitação foi iniciada intencionalmente pelo usuário autenticado. Em particular, a ação DBUpdateLogCleanUp pode ser acionada por meio de uma requisição GET sem validar um ChallengeToken. Um atacante remoto não autenticado pode, portanto, fazer com que o navegador de um administrador autenticado execute a ação de limpeza ao incorporar uma solicitação manipulada em uma página web maliciosa. A exploração bem-sucedida pode excluir entradas existentes do log DBUpdate. Isso pode reduzir a disponibilidade das informações diagnósticas e históricas usadas para solução de problemas e auditoria. O impacto está limitado às entradas do log DBUpdate que existem no momento em que o pedido forjado é processado.
Foram identificados endpoints administrativos adicionais que não validam um ChallengeToken. Alguns desses endpoints podem acionar ações administrativas, como implantar ou sincronizar configurações já existentes. Eles não permitem que um atacante introduza novas configurações arbitrárias por meio da própria solicitação CSRF.
Endpoints de exportação e somente leitura também foram identificados sem validação do ChallengeToken. Embora esses endpoints possam ser acionados por meio de uma requisição cross-site forjada, o conteúdo da resposta permanece sujeito às restrições same-origin do navegador e não é automaticamente exposto ao atacante. Portanto, nenhum impacto direto na confidencialidade foi demonstrado para esses endpoints.
Este problema afeta o OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X antes da versão 2026.7.X
Observe que a edição Community do ((OTRS)) 6.x e anteriores estão vulneráveis. Produtos baseados na edição Community do ((OTRS)) também são muito provavelmente afetados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.