---

📍 Berichtsübersicht

[!IMPORTANT] Dieser Bericht wurde absichtlich für die öffentliche GitHub-Veröffentlichung bereinigt. Sensitive Kennungen, Anmeldeinformationen, Infrastrukturwerte und kundenspezifische Beweise wurden durch klare Platzhalter ersetzt.

🧭 Schnellnavigation

• Zusammenfassung
• Technische Analyse
• Auswirkungen
• Behebung
• Erkenntnisse & Minderungsstrategie

[!TIP] Für eine schnelle Durchsicht beginnen Sie mit den Abschnitten Zusammenfassung und Auswirkungen. Für technische Tiefe fahren Sie mit Technische Analyse und Behebung fort.

🏷️ Titel

CVE-2026-36214 - osTicket Gespeichertes XSS über Bootstrap Tooltip

---

🧾 Zusammenfassung

Eine Schwachstelle vom Typ gespeichertes Cross-Site Scripting (XSS) im Ticketing-System osTicket (Versionen 1.10 bis 1.17.7 und 1.18.0 bis 1.18.3), die durch die Verwendung der Komponente Bootstrap Tooltip 3.3.4 entsteht, die für die Schwachstelle CVE-2019-8331 bekannt ist.

Diese Schwachstelle erlaubt es einem normalen Benutzer (bei der Ticket-Erstellung nicht authentifiziert) bösartigen JavaScript-Code in die Ticketnachricht einzuschleusen. Wenn diese Nachricht von einem Agenten oder Administrator angezeigt wird, wird der Code im Kontext ihrer Sitzung ausgeführt, was den Diebstahl der Sitzung und die vollständige Kontrolle über das Ticketsystem ermöglicht.

---

🔬 Technische Analyse

Die Schwachstelle wurde aus einer Anwendungssicherheits- und Infrastrukturrisikoperspektive bewertet. Das Kernproblem wird als Stored XSS (gespeichertes XSS) eingestuft und in einer bereinigten Form dokumentiert, die für die öffentliche Portfolio-Veröffentlichung geeignet ist.

osTicket ist ein weit verbreitetes Open-Source-Ticketing-System, das in Unternehmen eingesetzt wird. Es ermöglicht Benutzern das Hochladen von HTML-Inhalten und Anhängen in Tickets.

---

📊 Auswirkungen

• Ausführung von angreifergesteuertem Skript in vertrauenswürdigen Benutzersitzungen.
• Missbrauch von Sitzungen, unbefugte Aktionen und Reputationsrisiko für kundenorientierte Portale.

---

🛠️ Behebung

---

🧠 Erkenntnisse & Minderungsstrategie

• Behandeln Sie jede Integrationsgrenze als nicht vertrauenswürdig, insbesondere wenn die Anwendungslogik benutzergesteuerte Werte an Dateisysteme, Shells, Parser oder externe Tools weitergibt.
• Sicherheitsüberprüfungen sollten die gesamte Exploit-Kette validieren, nicht nur den ersten anfälligen Endpunkt; gering schwerwiegende Fehlkonfigurationen können bei Verkettung kritisch werden.
• Die öffentliche Dokumentation sollte Risiken, Grundursache und Behebung beschreiben, ohne operative Kennungen, Anmeldeinformationen oder wiederverwendbare Exploit-Artefakte preiszugeben.
• Verteidigungsmechanismen sollten präventive Validierung, minimale Laufzeitprivilegien, Telemetrie und Patch-Governance kombinieren, um sowohl die Ausnutzbarkeit als auch den Explosionsradius zu verringern.

---

🧼 Hinweise zur Bereinigung der Veröffentlichung

• Sensible Infrastrukturkennungen, IP-Adressen, Hostnamen, Anmeldeinformationen, Hashes und E-Mail-Adressen wurden durch explizite Platzhalter ersetzt.
• Wiederverwendbare operative Nachweise wurden minimiert oder abstrahiert, um das Dokument für die öffentliche GitHub-Veröffentlichung geeignet zu halten.
• Das Dokument verwendet eine Beraterstruktur, die mit gängigen Praktiken für Web-Sicherheitstestberichte wie den OWASP-WSTG-Berichtserwartungen übereinstimmt.

---