Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en una cadena como cuerpo del artículo en Open Ticket Request System (OTRS) y Community Edition (CVE-2019-16375)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
19/03/2020
Última modificación:
31/08/2023

Descripción

Se detectó un problema en Open Ticket Request System (OTRS) versiones 7.0.x hasta 7.0.11, y Community Edition versiones 5.0.x hasta 5.0.37 y versiones 6.0.x hasta 6.0.22. Un atacante que haya iniciado sesión como un usuario agente o cliente con los permisos apropiados puede crear una cadena cuidadosamente diseñada que contenga código JavaScript malicioso como cuerpo del artículo. Este código malicioso es ejecutado cuando un agente redacta una respuesta al artículo original.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:otrs:otrs:*:*:*:*:community:*:*:* 5.0.0 (incluyendo) 5.0.37 (incluyendo)
cpe:2.3:a:otrs:otrs:*:*:*:*:community:*:*:* 6.0.0 (incluyendo) 6.0.22 (incluyendo)
cpe:2.3:a:otrs:otrs:*:*:*:*:*:*:*:* 7.0.0 (incluyendo) 7.0.11 (incluyendo)