‹ Volver al listado

CVE-2026-78355

Estado: AplazadaAlta (8.7)—
Gravedad8.7Alta · CVSS 3.1
Probabilidad de explotación0.72 %mayor que el 54 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Una vulnerabilidad de recorrido de directorios en la funcionalidad SendSupportBundle de OTRS permite a un administrador autenticado hacer referencia a rutas de archivos fuera del directorio previsto.

Esto puede permitir que se eliminen archivos accesibles para el proceso de la aplicación OTRS. La vulnerabilidad no omite los permisos de archivo del sistema operativo. En versiones de OTRS anteriores a OTRS 7, los permisos efectivos del proceso del servidor web son relevantes. A partir de OTRS 7, el acceso se limita a los permisos del usuario dedicado de OTRS. Los archivos con propiedad o permisos del sistema de archivos excesivamente permisivos también pueden verse afectados.

Leer descripción completaMostrar menos

La funcionalidad afectada también puede intentar incluir archivos controlados en un paquete de soporte. Sin embargo, los paquetes de soporte se envían a una dirección de soporte OTRS predefinida, y no se ha demostrado la divulgación directa de archivos arbitrarios al atacante.

Por lo tanto, un atacante requiere acceso administrativo válido para explotar la funcionalidad vulnerable. El impacto demostrado principal es la eliminación de archivos fuera del directorio previsto dentro de los permisos efectivos del proceso de la aplicación OTRS.

Este problema afecta a OTRS:

Tenga en cuenta que ((OTRS)) Community Edition 6.x y anteriores son vulnerables. Los productos basados en ((OTRS)) Community Edition también es muy probable que se vean afectados.

Detalles técnicos trazas, registros y código del informe original
  *  7.0.X
  *  8.0.X
  *  2023.X
  *  2024.X
  *  2025.X
  *  2026.X antes de 2026.7.X

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
8.7
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.72 %
Percentil entre todas las CVEs puntuadas
54
Fecha de la puntuación
24/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad en aplicación remota (OTRS) accesible por administrador autenticado (PR:H) que permite manipulación/eliminación de archivos fuera del directorio previsto (CWE-22), causando impacto de integridad (I:H) y disponibilidad (A:H).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningThreat Intelligence ProgramPrivileged Account ManagementNetwork SegmentationEncrypt Sensitive InformationDisable or Remove Feature or Program

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Otrs — OtrsAI

CWE

Referencias

Mostrar las 1 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-78355",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-78355",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T17:51:36.209846Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@otrs.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 8.7,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "HIGH",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 5.8,
        "exploitabilityScore": 2.3
      }
    ]
  },
  "affected": [
    {
      "source": "security@otrs.com",
      "affectedData": [
        {
          "vendor": "OTRS GmbH (former OTRS AG)",
          "modules": [
            "Admin Interface"
          ],
          "product": "OTRS",
          "versions": [
            {
              "status": "affected",
              "version": "7.0.x"
            },
            {
              "status": "affected",
              "version": "8.0.x"
            },
            {
              "status": "affected",
              "version": "2023.x"
            },
            {
              "status": "affected",
              "version": "2024.x"
            },
            {
              "status": "affected",
              "version": "2025.x"
            },
            {
              "status": "affected",
              "version": "2026.x",
              "versionType": "patch",
              "lessThanOrEqual": "2026.6.x"
            }
          ],
          "defaultStatus": "affected"
        },
        {
          "vendor": "OTRS GmbH (former OTRS AG)",
          "modules": [
            "Admin Interface"
          ],
          "product": "((OTRS)) Community Edition",
          "versions": [
            {
              "status": "affected",
              "version": "6.x"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-12T07:16:36.740",
  "references": [
    {
      "url": "https://otrs.com/release-notes/otrs-security-advisory-2026-12/",
      "source": "security@otrs.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@otrs.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-22"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "A path traversal vulnerability in the OTRS SendSupportBundle functionality allows an authenticated administrator to reference file paths outside the intended directory.\n\nThis may allow files accessible to the OTRS application process to be deleted. The vulnerability does not bypass operating system file permissions. On OTRS versions prior to OTRS 7, the effective permissions of the web server process are relevant. Starting with OTRS 7, access is limited by the permissions of the dedicated OTRS user. Files with overly permissive ownership or file system permissions may therefore also be affected.\n\nThe affected functionality may additionally attempt to include controlled files in a support bundle. However, support bundles are sent to a predefined OTRS support address, and direct disclosure of arbitrary files to the attacker has not been demonstrated.\n\nAn attacker therefore requires valid administrative access to exploit the vulnerable functionality. The primary demonstrated impact is the deletion of files outside the intended directory within the effective permissions of the OTRS application process.\n\nThis issue affects OTRS:\n\n  *  7.0.X\n  *  8.0.X\n  *  2023.X\n  *  2024.X\n  *  2025.X\n  *  2026.X before 2026.7.X\n\nPlease note that ((OTRS)) Community Edition 6.x and before are vulnerable. Products based on the ((OTRS)) Community Edition also very likely to be affected"
    }
  ],
  "lastModified": "2026-10-15T20:38:44.050",
  "sourceIdentifier": "security@otrs.com"
}