Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant authentifié peut modifier l’url de la fonctionnalité
de séparation de tickets de OTRS, afin de lire les tickets des
autres utilisateurs, qui peuvent contenir des informations
sensibles.

– Produits concernés : Debian, OTRS Help Desk
– Gravité : 2/4
– Date création : 22/05/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Un utilisateur peut séparer (split) un ticket OTRS en deux tickets.

Le module AgentTicketPhone.pm est appelé lors de la création du
ticket. Cependant, il ne vérifie pas si l’utilisateur est autorisé
à lire le ticket avant de le séparer.

Un attaquant authentifié peut donc modifier l’url de la
fonctionnalité de séparation de tickets de OTRS, afin de lire les
tickets des autres utilisateurs, qui peuvent contenir des
informations sensibles.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/OTRS-lecture-de-ticket-via-AgentTicketPhone-12851