---

📍 Ficha del informe

[!IMPORTANT] Este informe está saneado intencionadamente para su publicación pública en GitHub. Los identificadores sensibles, credenciales, valores de infraestructura y evidencia específica del cliente se sustituyen por marcadores de posición claros.

🧭 Navegación rápida

• Resumen ejecutivo
• Análisis técnico
• Impacto
• Remediación
• Lecciones aprendidas y estrategia de mitigación

[!TIP] Para una revisión rápida, comience con las secciones de Resumen ejecutivo e Impacto. Para profundidad técnica, continúe con Análisis técnico y Remediación.

🏷️ Título

CVE-2026-36214 - XSS almacenado en osTicket mediante Bootstrap Tooltip

---

🧾 Resumen ejecutivo

Vulnerabilidad de seguridad de tipo Cross-Site Scripting (XSS) almacenado en el sistema de gestión de tickets osTicket (versiones 1.10 a 1.17.7 y 1.18.0 a 1.18.3), originada por el uso del componente Bootstrap Tooltip 3.3.4, conocido por la vulnerabilidad CVE-2019-8331.

Esta vulnerabilidad permite a un usuario normal (no autenticado al crear el ticket) inyectar código JavaScript malicioso en el mensaje del ticket. Cuando un agente (Agent) o un administrador (Admin) visualiza este mensaje, el código se ejecuta en el contexto de su sesión, lo que permite robar la sesión y tomar el control total del sistema de tickets.

---

🔬 Análisis técnico

La debilidad se evaluó desde una perspectiva de seguridad de aplicaciones y de riesgo de infraestructura. El problema central se clasifica como XSS almacenado y se documentó en una forma saneada apta para su publicación pública en un portafolio.

osTicket es un sistema de tickets de código abierto ampliamente utilizado en las organizaciones. Permite a los usuarios cargar contenido HTML y archivos adjuntos dentro de los tickets.

---

📊 Impacto

• Ejecución de scripts controlados por el atacante en sesiones de usuarios de confianza.
• Abuso de sesión, acciones no autorizadas y exposición reputacional para los portales orientados al cliente.

---

🛠️ Remediación

---

🧠 Lecciones aprendidas y estrategia de mitigación

• Trate cada límite de integración como no confiable, especialmente cuando la lógica de la aplicación reenvía valores controlados por el usuario a sistemas de archivos, shells, analizadores o herramientas externas.
• Las revisiones de seguridad deben validar la cadena de explotación completa, no solo el primer endpoint vulnerable; las configuraciones erróneas de baja severidad pueden volverse críticas cuando se encadenan.
• La documentación pública debe describir el riesgo, la causa raíz y la remediación sin exponer identificadores operativos, credenciales ni artefactos de explotación reutilizables.
• Los controles defensivos deben combinar validación preventiva, privilegio mínimo en tiempo de ejecución, telemetría y gobernanza de parches para reducir tanto la explotabilidad como el radio de impacto.

---

🧼 Notas de saneamiento de la publicación

• Los identificadores de infraestructura sensibles, direcciones IP, nombres de host, credenciales, hashes y direcciones de correo electrónico se reemplazaron con marcadores de posición explícitos.
• La evidencia operativa reutilizable se minimizó o abstrajo para mantener el documento apto para su publicación pública en GitHub.
• El documento utiliza una estructura de estilo consultor alineada con las prácticas comunes de elaboración de informes de pruebas de seguridad web, como las expectativas de los informes de OWASP WSTG.

---