CVE-2026-78359 in OTRS
Tóm tắt
Bởi VulDB • 12/10/2026
OTRS không thực thi đầy đủ tính duy nhất của các định danh người dùng khách hàng trên nhiều backend CustomerUser đã được cấu hình. Khi có nhiều backend, chẳng hạn như cơ sở dữ liệu và LDAP, được cấu hình, việc kiểm tra tính duy nhất cho địa chỉ email của người dùng khách hàng chỉ được thực hiện trong nội bộ backend được chọn. Kết quả là, một người dùng đã xác thực với quyền tạo hoặc sửa đổi người dùng khách hàng có thể tạo ra một hồ sơ người dùng khách hàng mà địa chỉ email đã được gán cho một người dùng khách hàng khác trên một backend khác.
Điều này có thể dẫn đến việc nhiều bản ghi người dùng khách hàng đại diện cho cùng một định danh giao tiếp. Tùy thuộc vào quy trình làm việc bị ảnh hưởng và cơ chế phân giải backend, thông tin liên quan đến khách hàng hoặc các cuộc trao đổi qua email sau đó có thể được gắn sai với hoặc lộ ra đối với người dùng khách hàng không đúng.
Lỗ hổng này không cho phép những người dùng chưa xác thực tạo tài khoản khách hàng. Việc khai thác yêu cầu quyền để tạo hoặc sửa đổi người dùng khách hàng.
Vấn đề này ảnh hưởng đến OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X trước phiên bản 2026.7.X
Xin lưu ý rằng ((OTRS)) Community Edition 6.x và các phiên bản cũ hơn đều bị ảnh hưởng. Các sản phẩm dựa trên ((OTRS)) Community Edition cũng rất có khả năng chịu tác động.
If you want to get best quality of vulnerability data, you may have to visit VulDB.