CVE-2026-78357 Revocación insuficiente de sesiones para autenticación JWT en OTRS

Qué es CVE-2026-78357

Los tokens de autenticación ya emitidos no se invalidan de inmediato cuando se desactiva una cuenta de agente o cliente o se cambia su contraseña, por lo que un JWT existente puede seguir válido hasta su expiración normal, aproximadamente 16 horas. Un atacante que ya posea un token válido puede seguir accediendo a OTRS con los privilegios de la cuenta afectada; la vulnerabilidad no permite obtener tokens por sí misma.

Productos y versiones afectadas

• OTRS GmbH (former OTRS AG) OTRS

  • 7.0.x
  • 8.0.x
  • 2023.x
  • 2024.x
  • 2025.x
  • desde 2026.x hasta 2026.6.x

Qué hacer

1. Verificá si usás OTRS y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.1 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Previously issued authentication tokens are not immediately invalidated when an OTRS agent or customer user account is deactivated or its password is changed. As a result, an existing JWT may remain valid until its regular expiration time, which can be approximately 16 hours. An attacker who has previously obtained a valid authentication token can therefore continue to access OTRS with the privileges of the affected agent or customer user even after the corresponding account has been deactivated or the user's password has been changed. The vulnerability does not allow an attacker to obtain authentication tokens by itself. Exploitation requires possession of a previously issued and still valid token. The actual impact depends on the privileges associated with the compromised token. Customer user tokens are limited to the permissions of the affected customer account, while agent tokens may provide access to broader ticket, customer, or administrative functionality depending on the assigned permissions. This issue affects OTRS: * 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X before 2026.7.X

Referencias

• otrs.com/release-notes/otrs-security-advisory-2026-14/

Historial de la alerta

1. 12 OCT · 06:37VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.