MEDIUM✓ PATCH🇬🇧 English

CVE-2026-48208

CVSS 6.5v3.1pub. 2026-06-01upd. 2026-07-22

Nieprawidłowa neutralizacja aktywnej zawartości SVG w renderowaniu artykułów ticketów OTRS lub OTRS Community Edition pozwala ataczkownikom na wstrzyknięcie specjalnie przygotowanych payload'ów SVG poprzez zawartość e-maili, co prowadzi do wyczerpania zasobów przeglądarki i denial of service, gdy dotknięte tickety są otwierane przez agenta lub klienta. Problem można eksploatować bez wykonywania JavaScript i nie jest łagodzony przez skonfigurowaną Content Security Policy (CSP). Podatność dotyczy OTRS 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz wersji 2026.X poniżej 2026.4.X. OTRS Community Edition w wersji 6.x i starszych jest podatna, podobnie jak produkty oparte na OTRS Community Edition.

▸ Pokaż oryginał (EN)

An improper neutralization of active SVG content in OTRS or ((OTRS)) Community Edition ticket article rendering allows attackers to inject specially crafted SVG payloads via email content, leading to browser-side resource exhaustion and denial of service when affected tickets are opened by an agent or customer. The issue can be exploited without JavaScript execution and is not mitigated by the configured Content Security Policy (CSP). This issue affects OTRS: * 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X before 2026.4.X Please note that ((OTRS)) Community Edition 6.x and before are vulnerable. Products based on the ((OTRS)) Community Edition also very likely to be affected