अपलोड किए गए इनलाइन छवियों का अनुचित प्रबंधन

यह भेद्यता हमलावरों को OTRS एजेंटों के ब्राउज़र में मनमाना जावास्क्रिप्ट कोड निष्पादित करने की अनुमति देती है। इसका उपयोग सत्र कुकीज़ चुराने, संवेदनशील जानकारी निकालने या उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित करने के लिए किया जा सकता है। चूंकि OTRS अक्सर ग्राहक सेवा और सहायता डेस्क के लिए उपयोग किया जाता है, इसलिए इस भेद्यता का शोषण करने से ग्राहकों की गोपनीय जानकारी से समझौता हो सकता है। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह हमलावर को सिस्टम तक उच्च स्तर की पहुंच प्राप्त करने की अनुमति दे सकती है, जिससे डेटा उल्लंघन और अन्य सुरक्षा घटनाओं का खतरा बढ़ जाता है।

Organizations using OTRS for customer support or internal ticketing are at risk. Specifically, deployments running older versions of OTRS (≤7.0.13) are vulnerable. Environments where agents routinely handle uploaded files from external sources are at higher risk.

• otrs: Examine OTRS server logs for unusual file upload patterns, specifically SVG files being processed as JPGs. Look for errors related to image rendering or JavaScript execution.

 grep -i 'svg' /var/log/otrs/log.txt |
 grep -i 'jpg' 

• linux / server: Monitor system processes for unusual JavaScript execution originating from the OTRS installation directory. Use lsof to identify processes accessing uploaded files.

lsof /opt/otrs/files/attachments/

• generic web: Inspect HTTP response headers for unexpected JavaScript code being injected into the response. Use browser developer tools to examine the DOM for suspicious scripts.

1. 2020-01-10Disclosure

   disclosure

1. आरक्षित2019-11-29
2. प्रकाशित2020-01-10
3. संशोधित2024-09-17
4. EPSS अद्यतन2026-04-02

इस भेद्यता को कम करने के लिए, OTRS Community Edition को संस्करण 7.0.14 या बाद के संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके SVG फ़ाइलों के अपलोड को ब्लॉक कर सकते हैं या OTRS कॉन्फ़िगरेशन में छवि अपलोड फ़िल्टर को कड़ा कर सकते हैं। सुनिश्चित करें कि OTRS इंस्टॉलेशन नवीनतम सुरक्षा पैच के साथ अद्यतित है और नियमित रूप से सुरक्षा ऑडिट करें। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, यह सुनिश्चित करने के लिए कि कोई भी SVG फ़ाइल अपलोड करने पर दुर्भावनापूर्ण जावास्क्रिप्ट निष्पादित नहीं होती है।