‹ Volver al listado

CVE-2026-78359

Estado: AplazadaMedia (5.4)—
Gravedad5.4Media · CVSS 3.1
Probabilidad de explotación0.16 %mayor que el 5 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

OTRS no aplica suficientemente la unicidad de las identidades de usuarios clientes en múltiples backends de CustomerUser configurados. Cuando se configuran múltiples backends, como una base de datos y LDAP, la verificación de unicidad de las direcciones de correo electrónico de usuarios clientes se realiza solamente dentro del backend seleccionado. Como resultado, un usuario autenticado con permiso para crear o modificar usuarios clientes puede crear un usuario cliente cuya dirección de correo electrónico ya está asignada a un usuario cliente en otro backend.

Esto puede resultar en múltiples registros de usuarios clientes que representan la misma identidad de comunicación.

Leer descripción completaMostrar menos

Dependiendo del flujo de trabajo afectado y la resolución del backend, la información relacionada con clientes o la comunicación por correo electrónico puede asociarse posteriormente o exponerse al usuario cliente incorrecto.

La vulnerabilidad no permite a usuarios no autenticados crear cuentas de cliente. La explotación requiere permisos para crear o modificar usuarios clientes.

Este problema afecta a OTRS:

Tenga en cuenta que OTRS Community Edition 6.x y anteriores son vulnerables. Los productos basados en OTRS Community Edition también es muy probable que se vean afectados.

Detalles técnicos trazas, registros y código del informe original
  *  7.0.X
  *  8.0.X
  *  2023.X
  *  2024.X
  *  2025.X
  *  2026.X anteriores a 2026.7.X

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.4
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.16 %
Percentil entre todas las CVEs puntuadas
5
Fecha de la puntuación
24/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Acceso autenticado a servicio remoto (OTRS) con PR:L permite crear identidades fraudulentas de clientes. Consecuencias: escalada de privilegios funcionales (T1078.003 account manipulation), manipulación de datos de clientes y exposición de comunicaciones (T1565.003, T1552.007).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementNetwork SegmentationUser Account ManagementVulnerability ScanningThreat Intelligence ProgramRestrict File and Directory Permissions

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Otrs — OtrsAI

CWE

Referencias

Mostrar las 1 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-78359",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-78359",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T16:41:22.839568Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@otrs.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.4,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.5,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security@otrs.com",
      "affectedData": [
        {
          "vendor": "OTRS GmbH (former OTRS AG)",
          "product": "OTRS",
          "versions": [
            {
              "status": "affected",
              "version": "7.0.x"
            },
            {
              "status": "affected",
              "version": "8.0.x"
            },
            {
              "status": "affected",
              "version": "2023.x"
            },
            {
              "status": "affected",
              "version": "2024.x"
            },
            {
              "status": "affected",
              "version": "2025.x"
            },
            {
              "status": "affected",
              "version": "2026.x",
              "versionType": "patch",
              "lessThanOrEqual": "2026.6.x"
            }
          ],
          "defaultStatus": "unaffected"
        },
        {
          "vendor": "OTRS GmbH (former OTRS AG)",
          "product": "((OTRS)) Community Edition",
          "versions": [
            {
              "status": "affected",
              "version": "6.x"
            }
          ],
          "defaultStatus": "affected"
        }
      ]
    }
  ],
  "published": "2026-10-12T07:16:37.423",
  "references": [
    {
      "url": "https://otrs.com/release-notes/otrs-security-advisory-2026-16/",
      "source": "security@otrs.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@otrs.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-694"
        },
        {
          "lang": "en",
          "value": "CWE-706"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "OTRS does not sufficiently enforce the uniqueness of customer user identities across multiple configured CustomerUser backends. When multiple backends, such as a database and LDAP, are configured, the uniqueness check for customer user email addresses is performed only within the selected backend. As a result, an authenticated user with permission to create or modify customer users may create a customer user whose email address is already assigned to a customer user in another backend.\n\nThis can result in multiple customer user records representing the same communication identity. Depending on the affected workflow and backend resolution, customer-related information or email communication may subsequently be associated with or exposed to the wrong customer user.\n\nThe vulnerability does not allow unauthenticated users to create customer accounts. Exploitation requires permissions to create or modify customer users.\n\nThis issue affects OTRS:\n\n  *  7.0.X\n  *  8.0.X\n  *  2023.X\n  *  2024.X\n  *  2025.X\n  *  2026.X before 2026.7.X\n\nPlease note that ((OTRS)) Community Edition 6.x and before are vulnerable. Products based on the ((OTRS)) Community Edition also very likely to be affected"
    }
  ],
  "lastModified": "2026-10-15T20:38:44.050",
  "sourceIdentifier": "security@otrs.com"
}