CVE-2026-78357
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wcześniej wydane tokeny uwierzytelniające nie są natychmiast unieważniane w przypadku dezaktywacji agenta OTRS lub konta użytkownika klienta lub zmiany jego hasła. W rezultacie istniejący JWT może pozostać ważny aż do normalnego terminu wygaśnięcia, który może wynosić około 16 godzin.
Osoba atakująca, która uzyskała wcześniej ważny token uwierzytelniający, może zatem nadal uzyskiwać dostęp do OTRS z uprawnieniami agenta lub użytkownika klienta, którego dotyczy problem, nawet po dezaktywacji odpowiedniego konta lub zmianie hasła użytkownika.
Luka nie pozwala atakującemu samodzielnie uzyskać tokenów uwierzytelniających. Eksploatacja wymaga posiadania wcześniej wydanego i wciąż ważnego tokena. Rzeczywisty wpływ zależy od uprawnień związanych ze zhakowanym tokenem. Tokeny użytkownika klienta są ograniczone do uprawnień konta klienta, którego to dotyczy, podczas gdy tokeny agenta mogą zapewniać dostęp do szerszych funkcji związanych z biletami, klientami lub administracją, w zależności od przypisanych uprawnień.
Ten problem dotyczy OTRS:
* 7.0.X
* 8.0.X
* 2023.X
* 2024.X
* 2025.X
* 2026.X przed 2026.7.X
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org