CVE-2026-78358 in OTRS
Сводка
по VulDB • 12.10.2026
Несколько административных действий не обеспечивают достаточной проверки того, был ли запрос намеренно инициирован аутентифицированным пользователем. В частности, действие DBUpdateLogCleanUp может быть активировано через GET-запрос без проверки ChallengeToken. Таким образом, удаленный злоумышленник, не прошедший аутентификацию, может заставить браузер администратора выполнить это действие очистки путем внедрения специально сформированного запроса на вредоносной веб-странице. Успешная эксплуатация уязвимости приводит к удалению существующих записей журнала DBUpdate. Это может снизить доступность диагностической и исторической информации, используемой для устранения неполадок и аудита. Влияние ограничивается только теми записями журнала DBUpdate, которые существуют на момент обработки поддельного запроса.
Были выявлены дополнительные административные конечные точки (endpoints), в которых не проверяется ChallengeToken. Некоторые из этих точек могут инициировать административные действия, такие как развертывание или синхронизация уже существующих конфигураций. Они не позволяют злоумышленнику внедрить произвольную новую конфигурацию непосредственно через CSRF-запрос.
Также были выявлены конечные точки экспорта и только для чтения (read-only), в которых отсутствует проверка ChallengeToken. Хотя эти точки могут быть активированы с помощью поддельного межсайтового запроса, содержимое ответа по-прежнему ограничивается правилами same-origin браузера и не раскрывается злоумышленнику автоматически. Следовательно, прямое влияние на конфиденциальность для этих конечных точек не было продемонстрировано.
Эта проблема затрагивает OTRS: * 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X до версии 2026.7.X
Обратите внимание, что уязвима версия ((OTRS)) Community Edition 6.x и более ранние. Продукты, основанные на ((OTRS)) Community Edition, также с высокой вероятностью подвержены данной проблеме.
VulDB is the best source for vulnerability data and more expert information about this specific topic.