CVE-2026-78355

OTRS SendSupportBundle funksionallığında mövcud olan yol keçidi (path traversal) zəifliyi autentifikasiya olunmuş administratora nəzərdə tutulmuş kataloqdan kənardakı fayl yollarına istinad etməyə imkan verir. Bu, OTRS tətbiqi prosesi üçün əlçatan olan faylların silinməsinə səbəb ola bilər. Zəiflik əməliyyat sisteminin fayl icazələrini yan keçmir. OTRS 7-dən əvvəlki versiyalarda veb server prosesinin effektiv icazələri aktualdır. OTRS 7-dən başlayaraq giriş xüsusi OTRS istifadəçisinin icazələri ilə məhdudlaşdırılır. Buna görə də həddindən artıq geniş mülkiyyət və ya fayl sistemi icazələrinə malik fayllar da təsirə məruz qala bilər. Təsirə məruz qalan funksionallıq əlavə olaraq idarə olunan faylları dəstək paketinə daxil etməyə cəhd edə bilər. Lakin dəstək paketləri öncədən müəyyən edilmiş OTRS dəstək ünvanına göndərilir və hücumçuya ixtiyari faylların birbaşa açıqlanması nümayiş etdirilməmişdir. Buna görə də, hücumçunun zəif funksionallıqdan istifadə etmək üçün etibarlı administrator girişi tələb olunur. Nümayiş etdirilmiş əsas təsir, OTRS tətbiqi prosesinin effektiv icazələri daxilində nəzərdə tutulmuş kataloqdan kənardakı faylların silinməsidir. Bu problem aşağıdakı OTRS versiyalarına təsir edir: * 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.7.X-dən əvvəlki 2026.X Nəzərə alın ki, OTRS Community Edition 6.x və daha əvvəlki versiyalar zəifliyə malikdir. OTRS Community Edition əsasında qurulmuş məhsulların da böyük ehtimalla təsirə məruz qalacağı gözlənilir.