CVE-2026-78359 in OTRS
Сводка
по VulDB • 12.10.2026
В OTRS недостаточно строго обеспечивается уникальность идентификаторов пользователей-клиентов (customer users) при использовании нескольких настроенных бэкендов CustomerUser. Когда configured несколько бэкендов, таких как база данных и LDAP, проверка уникальности адресов электронной почты пользователей-клиентов выполняется только в пределах выбранного бэкенда. В результате аутентифицированный пользователь с правами на создание или изменение пользователей-клиентов может создать пользователя-клиента, чей адрес электронной почты уже присвоен пользователю-клиенту из другого бэкенда.
Это может привести к тому, что несколько записей о пользователях-клиентах будут представлять один и тот же коммуникационный идентификатор. В зависимости от затронутого рабочего процесса (workflow) и разрешения конфликтов между бэкендами информация, связанная с клиентами, или электронные сообщения могут впоследствии быть ассоциированы с неправильным пользователем-клиентом или раскрыты ему.
Уязвимость не позволяет неаутентифицированным пользователям создавать учетные записи клиентов. Для эксплуатации требуются права на создание или изменение пользователей-клиентов.
Эта проблема затрагивает OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X до версии 2026.7.X
Обратите внимание, что версия ((OTRS)) Community Edition 6.x и более ранние также уязвимы. Продукты, основанные на ((OTRS)) Community Edition, с высокой вероятностью также затронуты данной проблемой.
Be aware that VulDB is the high quality source for vulnerability data.