‹ Volver al listado

CVE-2026-78357

Estado: AplazadaCrítica (9.1)—
Gravedad9.1Crítica · CVSS 3.1
Probabilidad de explotación0.30 %mayor que el 22 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Los tokens de autenticación emitidos anteriormente no se invalidan inmediatamente cuando se desactiva una cuenta de agente o usuario cliente de OTRS o se cambia su contraseña. Como resultado, un JWT existente puede seguir siendo válido hasta su hora de expiración regular, que puede ser aproximadamente de 16 horas.

Un atacante que ha obtenido previamente un token de autenticación válido puede, por lo tanto, continuar accediendo a OTRS con los privilegios del agente afectado o usuario cliente incluso después de que se haya desactivado la cuenta correspondiente o se haya cambiado la contraseña del usuario.

Leer descripción completaMostrar menos

La vulnerabilidad no permite a un atacante obtener tokens de autenticación por sí mismo. La explotación requiere la posesión de un token emitido previamente y aún válido. El impacto real depende de los privilegios asociados con el token comprometido. Los tokens de usuario cliente se limitan a los permisos de la cuenta de cliente afectada, mientras que los tokens de agente pueden proporcionar acceso a funcionalidad más amplia de tickets, cliente o administrativa según los permisos asignados.

Este problema afecta a OTRS:

Detalles técnicos trazas, registros y código del informe original
  *  7.0.X
  *  8.0.X
  *  2023.X
  *  2024.X
  *  2025.X
  *  2026.X anteriores a 2026.7.X

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
9.1
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.30 %
Percentil entre todas las CVEs puntuadas
22
Fecha de la puntuación
21/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Inferido por reglas deterministas a partir del vector CVSS y la CWE. Solo orientativo.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkFilter Network TrafficApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Otrs — OtrsAI

CWE

Referencias

Mostrar las 1 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-78357",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-78357",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T18:01:15.869918Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@otrs.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.1,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@otrs.com",
      "affectedData": [
        {
          "vendor": "OTRS GmbH (former OTRS AG)",
          "modules": [
            "Agent Interface",
            "External Interface"
          ],
          "product": "OTRS",
          "versions": [
            {
              "status": "affected",
              "version": "7.0.x"
            },
            {
              "status": "affected",
              "version": "8.0.x"
            },
            {
              "status": "affected",
              "version": "2023.x"
            },
            {
              "status": "affected",
              "version": "2024.x"
            },
            {
              "status": "affected",
              "version": "2025.x"
            },
            {
              "status": "affected",
              "version": "2026.x",
              "versionType": "patch",
              "lessThanOrEqual": "2026.6.x"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-12T07:16:37.073",
  "references": [
    {
      "url": "https://otrs.com/release-notes/otrs-security-advisory-2026-14/",
      "source": "security@otrs.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@otrs.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-613"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Previously issued authentication tokens are not immediately invalidated when an OTRS agent or customer user account is deactivated or its password is changed. As a result, an existing JWT may remain valid until its regular expiration time, which can be approximately 16 hours.\n\nAn attacker who has previously obtained a valid authentication token can therefore continue to access OTRS with the privileges of the affected agent or customer user even after the corresponding account has been deactivated or the user's password has been changed.\n\nThe vulnerability does not allow an attacker to obtain authentication tokens by itself. Exploitation requires possession of a previously issued and still valid token. The actual impact depends on the privileges associated with the compromised token. Customer user tokens are limited to the permissions of the affected customer account, while agent tokens may provide access to broader ticket, customer, or administrative functionality depending on the assigned permissions.\n\nThis issue affects OTRS:\n\n  *  7.0.X\n  *  8.0.X\n  *  2023.X\n  *  2024.X\n  *  2025.X\n  *  2026.X before 2026.7.X"
    }
  ],
  "lastModified": "2026-10-15T20:38:44.050",
  "sourceIdentifier": "security@otrs.com"
}