Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je v OTRS a ((OTRS)) umožněno falšovat obsah, který je součástí HTTP odpovědi [1].

Zranitelnost se nachází v produktech:

• OTRS; >=7.0, <7.1; >=8.0, <8.1; >=2023, <2025.1;
• ((OTRS)); >=6.0, <6.0.34;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Více informací:

• CVE-2024-43445 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 1. 2025.

Autentizovanému vzdálenému útočníkovi je v OTRS a ((OTRS)) umožněno neoprávněně měnit stav tiketu [2].

Zranitelnost se nachází v produktech:

• OTRS; >=7.0, <7.1; >=8.0, <8.1; >=2023, <2025.1;
• ((OTRS)); >=6.0, <6.0.34;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Více informací:

• CVE-2024-43446 na cve.org, NVD
• CWE-269: Improper Privilege Management na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 1. 2025.

Autentizovanému vzdálenému útočníkovi je v OTRS a ((OTRS)) umožněno přistupovat k citlivým informacím z logových souborů. Jako dočasnou opravu lze zakázat SMTP v OTRS a použít MTA (Mail Transfer Agent) jako náhradu (např. Postfix) [3]

Zranitelnost se nachází v produktech:

• OTRS; >=7.0, <7.1; >=8.0, <8.1; >=2023, <2025.1;
• ((OTRS)); >=6.0, <6.0.34;

CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Více informací:

• CVE-2025-24389 na cve.org, NVD
• CWE-532: Insertion of Sensitive Information into Log File na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 1. 2025.

Autentizovanému vzdálenému útočníkovi je v OTRS z důvodu nesprávného nastavování atributů souborů cookie potenciálně umožněno získat relaci jiného uživatele [4].

Zranitelnost se nachází v produktu:

• OTRS; >=7.0, <7.1; >=8.0, <8.1; >=2023, <2025.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Více informací:

• CVE-2025-24390 na cve.org, NVD
• CWE-614: Sensitive Cookie in HTTPS Session Without ‘Secure’ Attribute na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 1. 2025.