William Bastos

يوجد تجاوز للصلاحيات بسبب مفتاح يتحكم فيه المستخدم، مما يسمح لمهاجم مصرح له برفع الامتيازات عبر الشبكة.

يمكن استدراج مسؤول نظام مصرح له لحذف قوالب الاستيراد/التصدير الإدارية من خلال هجوم تزوير الطلبات عبر المواقع (CSRF). يحدث هذا لأن إجراء `AdminImportExport::TemplateDelete` لا يتحقق من صحة `ChallengeToken` الخاص بالطلب، مما يسمح لمهاجم عن بُعد غير مصرح له بصياغة طلب خبيث يتم تنفيذه بصلاحيات جلسة مسؤول نشطة.

يمكن للمسؤول إدخال JavaScript تعسفي في محتوى صفحة مخصصة (Custom Page). يتم تخزين هذا السكريبت بواسطة التطبيق ثم يتم تنفيذه في متصفح المستخدمين الذين يصلون إلى تلك الصفحة، مما يؤدي إلى ثغرة cross-site scripting (XSS) مخزنة.

A path traversal issue in the SendSupportBundle functionality allows an authenticated administrator to reference file paths outside the intended directory. This can lead to the deletion of files accessible to the OTRS application process, provided they have overly permissive ownership or file system permissions. The issue does not bypass operating system file permissions; for versions prior to OTRS 7, the web server process permissions apply, while OTRS 7 and later are limited by the dedicated OTRS user permissions. Additionally, the functionality may attempt to include controlled files in a support bundle, although these bundles are sent to a predefined support address.

يمكن الوصول إلى نقطة نهاية تكوين Agent Frontend دون مصادقة، مما يسمح للمستخدمين عن بُعد باسترداد تكوينات التطبيق الداخلية المخصصة للمستخدمين المصرح لهم. قد تتضمن المعلومات المكشوفة تكوين المصادقة، وميزات المنتج المفعلة، وإعدادات التكامل مع طرف ثالث، ومسارات الواجهة الأمامية المكونة مع مجموعات التفويض الخاصة بها، وتفاصيل تنفيذ أخرى. على الرغم من أن هذا لا يكشف عن بيانات اعتماد المستخدم أو يسمح بتعديل التكوين، إلا أنه يمكن للمهاجمين استخدامه لتحديد خصائص التثبيت وتحديد الإعدادات الأمنية ذات الصلة لتسهيل هجمات إضافية.

Authentication tokens are not immediately invalidated when an agent or customer user account is deactivated or the password is changed. This allows a previously obtained JSON Web Token (JWT)—a compact, URL-safe means of representing claims to be transferred between two parties—to remain valid until its expiration, which can be approximately 16 hours. An attacker possessing such a token can maintain access to the system with the privileges of the affected account. The impact depends on the token's permissions, ranging from limited customer account access to broader ticket, customer, or administrative functionality for agent tokens.

تفشل العديد من الإجراءات الإدارية في التحقق بشكل كافٍ مما إذا كان الطلب قد تم بدؤه عمدًا بواسطة مستخدم مصادق عليه. وتحديدًا، يمكن تفعيل إجراء `DBUpdateLogCleanUp` من خلال طلب GET دون التحقق من `ChallengeToken`. يتيح ذلك لمهاجم عن بُعد غير مصادق عليه خداع متصفح مسؤول مصادق عليه لتنفيذ إجراء التنظيف من خلال طلب مصاغ في صفحة ويب خبيثة، مما يؤدي إلى حذف إدخالات سجل DBUpdate. وهذا يقلل من توفر البيانات التشخيصية والتاريخية المستخدمة في التدقيق واستكشاف الأخطاء وإصلاحها. كما تم تحديد نقاط نهاية إدارية أخرى تفتقر إلى التحقق من `ChallengeToken` يمكنها تفعيل إجراءات مثل نشر أو مزامنة التكوينات الموجودة بالفعل، إلا أنها لا تسمح بإدخال تكوينات جديدة. بالإضافة إلى ذلك، تفتقر نقاط النهاية الخاصة بالتصدير والقراءة فقط إلى هذا التحقق، ولكن قيود الأصل نفسه في المتصفح تمنع تعرض محتوى الاستجابة للمهاجم.

يؤدي التعطيل غير السليم للمدخلات التي يمكن للمستخدم التحكم فيها أثناء معالجة التذاكر إلى تمكين المهاجمين المصادق عليهم من تنفيذ هجمات البرمجة النصية عبر المواقع (XSS) المنعكسة، وهي تقنية يتم من خلالها حقن نصوص برمجية ضارة في موقع ويب موثوق به وإعادتها إلى المستخدم. ومن خلال حقن جافا سكريبت ضار في عناوين URL للطلبات التي تم التلاعب بها عبر معلمات طلب مصممة خصيصًا مرتبطة بإجراءات التذاكر، يمكن للمهاجمين تنفيذ كود برمجي تعسفي في سياق جلسة عمل وكيل مصادق عليه عند فتح الرابط المصمم خصيصًا.

The issue allows an attacker to utilize a false URL and redirect to the URL of their choosing, due to an open redirect in the plugin.