CVE-2026-105454
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Automatyczne tworzenie linków do adresów URL w treści HTML zgłoszeń w RT nie escapuje HTML adresu URL umieszczanego w linku. Adres URL skonstruowany tak, aby wyłamać się z adresu linku, może dodać skrypt uruchamiany przy wyświetlaniu historii zgłoszenia bez dodatkowej akcji przeglądającego. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki przyznającej CreateTicket lub ReplyToTicket dla Everyone — może to wykorzystać. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.
Ocena ryzyka
Nieuwierzytelniony nadawca może umieścić złośliwy adres URL w zgłoszeniu, a skrypt wykona się w sesji każdego użytkownika wyświetlającego zgłoszenie, działając z jego uprawnieniami w RT.
Rekomendacja
Zaktualizuj RT do wersji 5.0.11 lub 6.0.4 (lub nowszej) i rozważ ograniczenie praw CreateTicket/ReplyToTicket dla Everyone w kolejkach przyjmujących pocztę publiczną.
Inne podatności w RT
Zobacz wszystkie- CVE-2026-44230Średnie
RT (Request Tracker) w wersjach 5.0.4-5.0.9 oraz 6.0.0-6.0.2 zawiera odbitą podatność XSS. Atakujący może nakłonić uwierzytelnionego użytkownika do kliknięcia spreparowanego URL, co pozwoli na wykonanie dowolnego JavaScript w jego sesji.
- CVE-2026-44229Średnie
RT (Request Tracker) to system śledzenia zgłoszeń i problemów klasy korporacyjnej. Wersje 5.0.0 i 6.0.0 oraz nowsze, przed 5.0.10 i 6.0.3, zawierają podatność XSS, w której przesłane treści są serwowane inline zamiast jako załącznik. Uwierzytelniony użytkownik, który może przesyłać treści, może dołączyć JavaScript w przesłanym pliku, który wykona się w sesji przeglądarki każdego użytkownika RT, który później go wyświetli lub pobierze.
- CVE-2026-44228Średnie
System RT (Request Tracker) w wersjach 6.0.0 do 6.0.2 zawiera podatność na przechowywany XSS. Uwierzytelniony użytkownik z odpowiednimi uprawnieniami może wstrzyknąć JavaScript, który wykona się u innego użytkownika przeglądającego stronę.
- CVE-2026-44227Średnie
RT (system zgłoszeń i ticketów) w wersjach 6.0.0 do 6.0.2 zawiera odbitą podatność XSS. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, co pozwala na wykonanie dowolnego JavaScriptu w sesji ofiary.
- CVE-2026-41076Wysokie
RT to system ticketowy, w którym w wersjach do 5.0.9 oraz 6.0.0-6.0.2 występuje podatność pozwalająca na ominięcie uwierzytelniania w instalacjach korzystających z LDAP/AD. Atakujący może zalogować się jako dowolny użytkownik RT bez podania prawidłowych danych logowania.
- CVE-2026-41075Wysokie
RT, system do zarządzania zgłoszeniami i ticketami, w wersjach 5.0.0-5.0.9 oraz 6.0.0-6.0.2 zawiera podatność na wstrzykiwanie SQL. Uwierzytelniony użytkownik może manipulować danymi wejściowymi, które są używane w zapytaniach do bazy danych bez odpowiedniej walidacji, co może pozwolić na odczyt lub modyfikację danych w bazie RT.
- CVE-2026-41074Wysokie
RT w wersjach 6.0.0 do 6.0.2 zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF). Atakujący może nakłonić zalogowanego użytkownika RT do odwiedzenia złośliwej strony, co pozwoli na wykonanie dowolnych akcji zmieniających stan w RT w imieniu ofiary.
Oryginalny opis (angielski, źródło NVD)
RT's automatic link creation for URLs in HTML ticket content does not HTML-escape the URL it places in the link. A URL crafted to break out of the link's address can add a script that runs when the ticket history is displayed, with no further action by the viewer. Anyone who can add HTML content to a ticket can plant it. That includes an unauthenticated sender of HTML email to any queue that grants CreateTicket or ReplyToTicket to Everyone, which is routine for a queue that accepts mail from the public. The script runs in the session of any user who views the ticket, and can act in RT with that user's authority. This issue was fixed in version 5.0.11 and 6.0.4
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS