Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je OTRS a ((OTRS)) umožnené falšovať obsah, ktorý je súčasťou HTTP odpovede [1].

Zraniteľnosť sa nachádza v produktoch:

• OTRS; >=7.0, <7.1; >=8.0, <8.1; >=2023, <2025.1;
• ((OTRS)); >=6.0, <6.0.34;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Viac informácií:

• CVE-2024-43445 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 1. 2025.

Autentizovanému vzdialenému útočníkovi je v OTRS a ((OTRS)) umožnené neoprávnene meniť status lístka [2].

Zraniteľnosť sa nachádza v produktoch:

• OTRS; >=7.0, <7.1; >=8.0, <8.1; >=2023, <2025.1;
• ((OTRS)); >=6.0, <6.0.34;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Viac informácií:

• CVE-2024-43446 na cve.org, NVD
• CWE-269: Improper Privilege Management na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 1. 2025.

Autentizovanému vzdialenému útočníkovi je v OTRS a ((OTRS)) umožnené pristupovať k citlivým informáciám z logových súborov. Ako dočasnú opravu je možné zakázať SMTP v OTRS a použiť MTA (Mail Transfer Agent) ako náhradu (napr. Postfix) [3]

Zraniteľnosť sa nachádza v produktoch:

• OTRS; >=7.0, <7.1; >=8.0, <8.1; >=2023, <2025.1;
• ((OTRS)); >=6.0, <6.0.34;

CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2025-24389 na cve.org, NVD
• CWE-532: Insertion of Sensitive Information into Log File na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 1. 2025.

Autentizovanému vzdialenému útočníkovi je v OTRS z dôvodu nesprávneho nastavovania atribútov súborov cookie potenciálne umožnené získať reláciu iného používateľa [4].

Zraniteľnosť sa nachádza v produkte:

• OTRS; >=7.0, <7.1; >=8.0, <8.1; >=2023, <2025.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2025-24390 na cve.org, NVD
• CWE-614: Sensitive Cookie in HTTPS Session Without ‘Secure’ Attribute na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 1. 2025.