CVE-2026-93582

((OTRS)) Community Edition 6 və daha əvvəlki versiyalardakı HTTP Basic Authentication modulları autentifikasiya olunmuş istifadəçi adını REMOTE_USER və ya HTTP_REMOTE_USER mühit dəyişənlərindən qəbul edir. CGI və mod_perl əsaslı tətbiqlərdə HTTP sorğu başlıqları müvafiq HTTP_* mühit dəyişənlərinə yönləndirilə bilər. Nəticədə, autentifikasiya olunmamış uzaq hücumçu, tətbiqə HTTP_REMOTE_USER kimi təqdim edilən xüsusi hazırlanmış Remote-User sorğu başlığını göndərə bilər. HTTP Basic Authentication autentifikasiya backend-i kimi konfiqurasiya edildikdə, OTRS bu dəyəri artıq autentifikasiya olunmuş istifadəçi adı kimi qəbul edir və əlavə parol yoxlaması aparmır. Beləliklə, hücumçu müvafiq etibarnamələri bilmədən Generic Interface vasitəsilə mövcud agent və ya müştəri istifadəçisi kimi autentifikasiyadan keçə bilər. Nəticədə əldə edilən imtiyazlar təqlid edilən hesabdan asılıdır. Uğurlu istismar məxfi məlumatlara girişə və təsirlənmiş istifadəçinin icazələri ilə məlumatların və ya konfiqurasiyanın dəyişdirilməsinə şərait yarada bilər. İstismar üçün HTTP Basic Authentication-ın autentifikasiya backend-i kimi konfiqurasiya edilməsi və hücumçu tərəfindən idarə olunan HTTP başlıqlarının müvafiq HTTP_* mühit dəyişənləri vasitəsilə təqdim edildiyi veb server mühiti tələb olunur. Mojolicious/Hypnotoad-dan istifadə etdiyi üçün OTRS 7 və daha yeni versiyalar bu hücum vektorundan təsirlənmir və istismar üçün tələb olunan şəkildə ixtiyari sorğu başlıqlarını %ENV vasitəsilə təqdim etmir. Dəstəklənən REMOTE_USER mexanizmi əlavə olaraq konfiqurasiya edilmiş SSO ortaq sirri (shared secret) vasitəsilə təsdiqləməni tələb edir. Buna baxmayaraq, istifadə olunmayan HTTP_REMOTE_USER ehtiyat variantı təhlükəsizliyin gücləndirilməsi tədbiri kimi silinib. Zəhmət olmasa, nəzərə alın ki, ((OTRS)) Community Edition 6.x və daha əvvəlki versiyalar zəifliyə malikdir. ((OTRS)) Community Edition əsaslı məhsulların da çox güman ki, təsirləndiyi gözlənilir.