CVE-2026-14871 - BOLA / IDOR en osTicket ajax.tickets.php

Autorización rota a nivel de objeto (BOLA): Referencia directa insegura a objetos (IDOR)
include/ajax.tickets.php → función viewField()
Reportado por @JF0x0r · 27 de marzo de 2026 Estado: PARCHEADO - Corrección publicada en osTicket v1.17.8 / v1.18.4

De un vistazo

Quién soy

Soy Juan Felipe Oz (@JF0x0r), investigador de seguridad apasionado por la seguridad del código abierto. No hago esto por recompensas; lo hago porque creo que las herramientas en las que la gente confía deberían ser seguras. Cuando encuentro algo, lo reporto de forma responsable, lo documento adecuadamente y lo comparto públicamente una vez que está corregido.

Lo que encontré

Mientras realizaba una revisión manual del código del subsistema AJAX de osTicket, noté algo extraño en ajax.tickets.php. La función viewField() gestiona las solicitudes para ver los datos de los campos del ticket - y sí recupera el objeto del ticket y valida que el campo exista. Pero nunca comprueba si el agente que realiza la solicitud tiene realmente permiso para acceder a ese ticket.

Sin checkStaffPerm(). Sin validación de departamento. Nada.

Esto significa que cualquier agente autenticado, incluso uno estrictamente limitado a un solo departamento, puede leer campos de tickets de cualquier otro departamento del sistema, solo con conocer o adivinar el ticket_id y el field_id. Son enteros secuenciales. Fáciles de enumerar.

Lo que hace esto particularmente evidente es la comparación con editField(), la función hermana justo encima en el mismo archivo. editField() llama correctamente a $ticket->checkStaffPerm($thisstaff, Ticket::PERM_EDIT) y devuelve HTTP 403 ante una violación. La corrección ya estaba implementada para escrituras — simplemente nunca se aplicó a las lecturas.

Prueba de concepto: Demostración en vivo

Grabé una demostración completa de extremo a extremo del exploit en un entorno de laboratorio controlado:

El video muestra:

• Configuración del laboratorio con dos departamentos aislados (Dept-A y Dept-B)
• Agente agent_a autenticado con acceso restringido únicamente a Dept-A
• Creación de la solicitud no autorizada dirigida a un ticket confidencial de Dept-B
• El servidor devolviendo HTTP 200 con los datos del campo del ticket restringido expuestos
• Reproducción después del parche mostrando HTTP 403 — Permiso denegado

El script exploit.py de este repositorio automatiza toda la cadena (autenticación → enumeración → acceso no autorizado a campos) y se utilizó durante la evaluación para confirmar que el problema escala más allá de las pruebas manuales.

Impacto

• Divulgación de datos sensibles - cualquier agente puede leer campos confidenciales de tickets en todos los departamentos
• Escalada horizontal de privilegios - los límites departamentales se omiten por completo
• Enumeración masiva - los enteros secuenciales ticket_id / field_id hacen que el raspado masivo sea trivial
• Violación de confidencialidad multiinquilino - anula el principio de diseño central del modelo de aislamiento por departamentos de osTicket

La corrección

Una inserción de una sola línea en viewField(), inmediatamente después de recuperar el objeto del ticket, replicando exactamente lo que editField() ya hace correctamente. Los detalles técnicos completos, el diff y el desglose CVSS están en el informe adjunto.

📄 BOLA_IDOR_osTicket_Report_v2.pdf

✅ Parche oficial (Confirmado por el equipo de osTicket)

osTicket confirmó el informe e implementó la mitigación añadiendo $ticket->checkStaffPerm($thisstaff) antes de resolver/representar el campo solicitado, replicando la comprobación ya presente en editField(). El personal ahora debe tener acceso al ticket principal antes de ver los datos de los campos.

osTicket recomienda un breve margen de actualización antes de compartir públicamente los pasos completos del exploit. Este repositorio sigue esa directriz; consulte Cronograma de divulgación a continuación.

Cronograma de divulgación

Archivos en este repositorio

.
├── README.md                        # This file
├── BOLA_IDOR_osTicket_Report_v2.pdf # Full technical disclosure report
├── exploit.py                       # PoC automation script
└── PoC_osTicket.mov                 # Local copy of the demo video

Divulgación responsable

Reporté esto de forma privada al equipo de seguridad de osTicket antes de publicar nada. Este repositorio se hizo público solo después de la ventana de divulgación responsable y, ahora que se ha publicado un parche oficial, el informe completo está disponible. Si eres mantenedor de osTicket y tienes preguntas, no dudes en contactar directamente a través de GitHub.

Encontrado por @JF0x0r · La seguridad del código abierto importa.