OTRS CSV Export Formula Injection Vulnerability (CVE-2026-12345) Advisory

脆弱性概要 タイトル: OTRS Security Advisory 2026-17 公開日: 2026-03-17 脆弱性名称: CSVエクスポートにおける数式要素の適切な中和不足 脆弱性番号: CVE-2026-12345 CVSSスコア: 5.3 (Medium) CVSSベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N 説明: OTRSはオープンソースのITサービス管理システムです。OTRSのCSVエクスポート機能にはセキュリティ脆弱性があり、攻撃者が悪意のあるCSVファイルを構成することで、エクスポート時に数式要素を注入することが可能です。これにより、データ漏洩やシステムに対するさらなる悪用のおそれがあります。 影響範囲 影響を受けるバージョン: OTRS 6.0.x OTRS 7.0.x OTRS 8.0.x 影響を受けないバージョン: OTRS 9.0.x 以降 修正ソリューション 修正バージョン: OTRS 9.0.x 以降 暫定ソリューション: CSVファイルをエクスポートする際、ファイル内容に数式要素が含まれていないことを確認してください。 CSVファイルのエクスポート権限を制限し、認可されたユーザーのみがエクスポート操作を実行できるようにします。 詳細な修正手順: 1. OTRS 9.0.x 以降にアップグレードします。 2. すぐにアップグレードできない場合は、以下の暫定ソリューションを適用します： - CSVファイルをエクスポートする際、手動でファイル内容を確認し、数式要素が含まれていないことを確認します。 - CSVファイルのエクスポート権限を制限し、認可されたユーザーのみがエクスポート操作を実行できるようにします。 POCコード 参考リンク OTRS公式セキュリティアドバイザリ CVE-2026-12345詳細情報 連絡先 レポート人: John Doe 連絡先メールアドレス: john.doe@example.com --- 免責事項: この文書は参考目的のみを提供するものです。本文書内の情報を使用することによるリスクは、利用者自身で負うものとするものです。

目標達成 すべての支援者に感謝 — 100%達成しました！

OTRS CSV Export Formula Injection Vulnerability (CVE-2026-12345) Advisory

目標達成すべての支援者に感謝 — 100%達成しました！