PT-2026-110490
CVE-2026-78358
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OTRS الإصدارات 6.x وما قبلها
OTRS الإصدارات من 7.0.x حتى 2026.6.x
Description
تفشل العديد من الإجراءات الإدارية في التحقق بشكل كافٍ مما إذا كان الطلب قد تم بدؤه عمدًا بواسطة مستخدم مصادق عليه. وتحديدًا، يمكن تفعيل إجراء
DBUpdateLogCleanUp من خلال طلب GET دون التحقق من ChallengeToken. يتيح ذلك لمهاجم عن بُعد غير مصادق عليه خداع متصفح مسؤول مصادق عليه لتنفيذ إجراء التنظيف من خلال طلب مصاغ في صفحة ويب خبيثة، مما يؤدي إلى حذف إدخالات سجل DBUpdate. وهذا يقلل من توفر البيانات التشخيصية والتاريخية المستخدمة في التدقيق واستكشاف الأخطاء وإصلاحها. كما تم تحديد نقاط نهاية إدارية أخرى تفتقر إلى التحقق من ChallengeToken يمكنها تفعيل إجراءات مثل نشر أو مزامنة التكوينات الموجودة بالفعل، إلا أنها لا تسمح بإدخال تكوينات جديدة. بالإضافة إلى ذلك، تفتقر نقاط النهاية الخاصة بالتصدير والقراءة فقط إلى هذا التحقق، ولكن قيود الأصل نفسه في المتصفح تمنع تعرض محتوى الاستجابة للمهاجم.Recommendations
تحديث OTRS إلى الإصدار 2026.7.x أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾