CVE-2026-78356— Unauthenticated Disclosure of Agent Frontend Configuration -> 未授权披露代理前端配置
一分钟漏洞结论
影响对象
OTRS GmbH (former OTRS AG) OTRS
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
OTRS Agent 前端配置端点可在未经验证的情况下访问。此漏洞允许未认证远程用户获取内部应用程序配置信息，这些配置本应仅供已认证的 Agent 前端使用。暴露的信息可能包括已配置的前端路由及其关联的授权组、认证配置、启用的产品功能、第三方集成设置以及其他实现细节。 尽管暴露的配置信息不直接包含用户凭据，也无法直接对 OTRS 配置进行未授权的修改，但泄露的信息可能帮助攻击者对受影响的 OTRS 安装进行指纹识别，并发现已启用的功能或与安全相关的配置，从而为后续攻击做准备。 此问题影响以下版本的 OTRS： 8.
影响版本矩阵 5
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| OTRS GmbH (former OTRS AG) | OTRS | 8.0.x |
affected |
2023.x |
affected | ||
2024.x |
affected | ||
2025.x |
affected | ||
2026.x≤ 2026.6.x |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-78356 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Unauthenticated Disclosure of Agent Frontend Configuration
来源: CVE Program / CVE List V5
Vulnerability Description
The OTRS Agent Frontend configuration endpoint can be accessed without authentication. This allows unauthenticated remote users to retrieve internal application configuration that is intended for use by the authenticated Agent Frontend. The exposed information may include configured frontend routes and their associated authorization groups, authentication configuration, enabled product features, third-party integration settings, and other implementation details.
The exposed configuration does not directly contain user credentials or provide unauthorized modification of the OTRS configuration. However, the disclosed information may assist an attacker in fingerprinting the affected OTRS installation and identifying enabled functionality or security-relevant configuration that could be used to prepare further attacks.
This issue affects OTRS:
* 8.0.X
* 2023.X
* 2024.X
* 2025.X
* 2026.X before 2026.7.X
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
将系统数据暴露到未授权控制的范围
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| OTRS GmbH (former OTRS AG) | OTRS | 8.0.x | - |
|
二、漏洞 CVE-2026-78356 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-78356 的情报信息
请登录查看更多情报信息。
CVE-2026-78356 厂商安全公告 (1)
同批安全公告 · OTRS GmbH (former OTRS AG) · 2026-10-12 · 共 9 条
| CVE-2026-93582 | 9.4 CRITICAL | HTTP基本认证绕过漏洞 |
| CVE-2026-78357 | 9.1 CRITICAL | JWT认证会话撤销不足漏洞 |
| CVE-2026-78355 | 8.7 HIGH | SendSupportBundle 路径遍历漏洞，允许删除指定目录外的文件 |
| CVE-2026-93581 | 6.1 MEDIUM | CSV导出公式元素不足中和漏洞 |
| CVE-2026-48211 | 5.4 MEDIUM | 导入/导出管理控制台的跨站请求伪造漏洞 |
| CVE-2026-78359 | 5.4 MEDIUM | CustomerUser 多后端身份重复漏洞 |
| CVE-2026-48212 | 4.8 MEDIUM | 外部页面存储型XSS漏洞 |
| CVE-2026-78358 | 4.3 MEDIUM | 管理操作跨站请求伪造漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-78356
暂无评论