Request Tracker 與 RT for Incident Response 發現跨站指令碼漏洞

Request Tracker 與 RT for Incident Response 軟體的漏洞

說明

CERT Polska 的 Mateusz Szymaniec 在自行研究期間發現 Request Tracker 與 RT for Incident Response 軟體的漏洞，並參與協調其公開。

漏洞 CVE-2026-105454：RT 在 HTML 票證內容中自動建立 URL 連結時，未對放入連結的 URL 進行 HTML 轉義。若將 URL 設計成脫離連結地址，便能加入指令碼，當票證歷史顯示時執行，且不需觀察者進一步操作。任何能將 HTML 內容加入票證的人都能植入該指令碼。這包括未經授權的 HTML 電子郵件傳送者，寄至任何授予 Everyone CreateTicket 或 ReplyToTicket 許可權的佇列，這在接受公開郵件的佇列中很常見。指令碼會在檢視票證的任何使用者的會話中執行，並可以該使用者的許可權在 RT 中執行操作。

此問題已於 5.0.11 與 6.0.4 版修復

漏洞 CVE-2026-105455：RTIR 的票證建立表單在拆分票證或從報告建立事件時，會顯示相關票證的主旨，且未對該主旨進行 HTML 轉義。當使用者開啟任何一個表單時，主旨中的指令碼即會執行。RTIR 預設授予所有人建立 Incident Reports 的許可權，因此未經授權的電子郵件報告傳送者可設定該主旨。指令碼隨後會在從報告建立事件或拆分事件的事件處理者會話中執行，並可以該使用者的許可權在 RT 中執行操作。

此問題已於 6.0.4 版修復，RTIR 5.0 未受影響。

漏洞 CVE-2026-105456：RTIR 擴充了 RT 的 HTML 淨化器，允許使用內部連結佔位符，且此擴充允許任何僅包含該佔位符的連結通過，包括使用可執行 javascript: 協定的連結。此變更在安裝 RTIR 後套用於整個 RT 例項，而非僅限於 RTIR 自身的佇列。任何能夠在此類例項中為工單新增 HTML 內容的人都能儲存此類連結。這包括未經身份驗證的傳送者將 HTML 電子郵件送至 Incident Reports 佇列，RTIR 預設對所有人開放。指令碼會在使用者點選連結時於該使用者的會話執行，並可以該使用者的許可權在 RT 中執行操作。

此問題已於 5.0.11 和 6.0.4 版修復。

更多關於 CERT Polska 協調漏洞披露流程的資訊可在 https://cert.pl/en/cvd/ 找到。