CVE-2026-105456

ŚrednieCVSS 5.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

RTIR rozszerza mechanizm oczyszczania HTML w RT, aby dopuszczać wewnętrzny placeholder linku, i przepuszcza każdy link zawierający ten placeholder, w tym linki z wykonywalnym schematem javascript:. Zmiana dotyczy całej instancji RT po zainstalowaniu RTIR, nie tylko kolejek RTIR. Każdy, kto może dodać treść HTML do zgłoszenia — w tym nieuwierzytelniony nadawca e-maila HTML do kolejki Incident Reports, domyślnie otwartej dla wszystkich — może zapisać taki link, a skrypt uruchamia się w sesji użytkownika klikającego link. Podatność naprawiono w wersjach 5.0.11 i 6.0.4.

Ocena ryzyka

Nieuwierzytelniony nadawca może umieścić złośliwy link w zgłoszeniu, a jego kliknięcie przez pracownika obsługi uruchomi skrypt działający z uprawnieniami tego użytkownika w RT.

Rekomendacja

Zaktualizuj RTIR do wersji 5.0.11 lub 6.0.4 (lub nowszej) i rozważ ograniczenie dostępu do kolejki Incident Reports.

Inne podatności w RTIR

CVE-2026-105455Średnie
Formularze tworzenia zgłoszeń w RTIR pokazują temat powiązanego zgłoszenia podczas dzielenia zgłoszenia lub tworzenia incydentu z raportu, renderując ten temat bez escapowania HTML. Temat zawierający skrypt uruchamia go, gdy użytkownik otworzy formularz. RTIR domyślnie przyznaje wszystkim prawo tworzenia Incident Reports, więc nieuwierzytelniony nadawca e-maila może ustawić taki temat, a skrypt działa w sesji osoby obsługującej incydent. Podatność naprawiono w wersji 6.0.4; RTIR 5.0 nie jest podatny.

Oryginalny opis (angielski, źródło NVD)

RTIR extends RT's HTML scrubber to allow an internal link placeholder, and the extension lets through any link that merely contains the placeholder, including links using the executable javascript: scheme. The change applies to the whole RT instance once RTIR is installed, not only to RTIR's own queues. Anyone who can add HTML content to a ticket on such an instance can store such a link. That includes an unauthenticated sender of HTML email to the Incident Reports queue, which RTIR opens to everyone by default. Script runs when a user clicks the link, in that user's session, and can act in RT with that user's authority. This issue was fixed in version 5.0.11 and 6.0.4

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS