VULNERABILIDAD
CVE-2026-48211 Falsificación de petición (CSRF) en la consola de administración de Import/Export de OTRS
La acción AdminImportExport::TemplateDelete no valida el ChallengeToken de la solicitud, por lo que un atacante remoto no autenticado puede inducir a un administrador autenticado a eliminar plantillas de Import/Export mediante CSRF. Afecta a OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X y 2026.X anteriores a 2026.7.X; también es vulnerable ((OTRS)) Community Edition 6.x y anteriores.
Alerta de Nureq Monitor
Detectada 12 OCT · 06:37
CVSS 3.1
5.4MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,1 % PERCENTIL 2
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-48211
La acción AdminImportExport::TemplateDelete no valida el ChallengeToken de la solicitud, por lo que un atacante remoto no autenticado puede inducir a un administrador autenticado a eliminar plantillas de Import/Export mediante CSRF. Afecta a OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X y 2026.X anteriores a 2026.7.X; también es vulnerable ((OTRS)) Community Edition 6.x y anteriores.
Productos y versiones afectadas
OTRS GmbH (former OTRS AG) OTRS
OTRS GmbH (former OTRS AG) ((OTRS)) Community Edition
Qué hacer
- Verificá si usás OTRS y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Requerida
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Baja
Abrir la calculadora completa →
Descripción original
An authenticated administrator can be induced to delete administrative Import/Export templates through a Cross-Site Request Forgery (CSRF) attack. The OTRS AdminImportExport::TemplateDelete action does not validate the request's ChallengeToken, allowing an unauthenticated remote attacker to craft a malicious request that is executed with the privileges of an active administrator session.
This issue affects OTRS:
* 7.0.X
* 8.0.X
* 2023.X
* 2024.X
* 2025.X
* 2026.X before 2026.7.X
Please note that ((OTRS)) Community Edition 6.x and before are vulnerable. Products based on the ((OTRS)) Community Edition also very likely to be affected
Referencias
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.