CVE-2025-26241
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w funkcji wyszukiwania na stronie tickets.php w osTicket w wersji 1.17.5 i starszych umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez kombinację parametrów URL 'keywords' i 'topic_id'.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść poufne dane (np. dane klientów, hasła) lub zmodyfikować zawartość systemu zgłoszeń.
Rekomendacja
Niezwłocznie zaktualizuj osTicket do wersji nowszej niż 1.17.5, która zawiera poprawkę eliminującą podatność SQL Injection.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in the "Search" functionality of "tickets.php" page in osTicket <=1.17.5 allows authenticated attackers to execute arbitrary SQL commands via the "keywords" and "topic_id" URL parameters combination.