---

📍 Aperçu du rapport

[!IMPORTANT] Ce rapport est volontairement anonymisé pour une publication publique sur GitHub. Les identifiants sensibles, credentials, valeurs d'infrastructure et preuves spécifiques au client sont remplacés par des espaces réservés clairs.

🧭 Navigation rapide

• Résumé Exécutif
• Analyse Technique
• Impact
• Remédiation
• Leçons apprises et stratégie d'atténuation

[!TIP] Pour une revue rapide, commencez par les sections Résumé exécutif et Impact. Pour une analyse approfondie, poursuivez avec Analyse technique et Remédiation.

🏷️ Titre

CVE-2026-36214 - XSS stocké dans osTicket via Bootstrap Tooltip

---

🧾 Résumé Exécutif

Une vulnérabilité de type Cross-Site Scripting (XSS) stocké dans le système de gestion de tickets osTicket (versions 1.10 à 1.17.7 et 1.18.0 à 1.18.3), provenant de l'utilisation du composant Bootstrap Tooltip 3.3.4 connu pour la vulnérabilité CVE-2019-8331.

Cette vulnérabilité permet à un utilisateur ordinaire (non authentifié lors de la création du ticket) d'injecter du code JavaScript malveillant dans le message du ticket. Lorsque ce message est consulté par un agent ou un administrateur, le code est exécuté dans le contexte de leur session, ce qui permet le vol de session et le contrôle total du système de tickets.

---

🔬 Analyse technique

La faiblesse a été évaluée d'un point de vue sécurité applicative et risque d'infrastructure. Le problème central est classé comme XSS stocké et a été documenté sous une forme anonymisée adaptée à la publication publique dans un portfolio.

osTicket est un système de tickets open source largement utilisé dans les organisations. Il permet aux utilisateurs de joindre du contenu HTML et des pièces jointes dans les tickets.

---

📊 Impact

• Exécution de scripts contrôlés par l'attaquant dans des sessions utilisateur de confiance.
• Abus de session, actions non autorisées et atteinte à la réputation des portails destinés aux clients.

---

🛠️ Remédiation

---

🧠 Leçons apprises et stratégie d'atténuation

• Considérer chaque frontière d'intégration comme non fiable, en particulier lorsque la logique applicative transmet des valeurs contrôlées par l'utilisateur à des systèmes de fichiers, des shells, des analyseurs ou des outils externes.
• Les revues de sécurité doivent valider la chaîne d'exploitation complète, pas seulement le premier point de terminaison vulnérable ; des mauvaises configurations de faible gravité peuvent devenir critiques lorsqu'elles sont combinées.
• La documentation publique doit décrire le risque, la cause racine et la remédiation sans exposer d'identifiants opérationnels, de credentials ou d'artefacts d'exploitation réutilisables.
• Les contrôles défensifs doivent combiner validation préventive, moindre privilège à l'exécution, télémétrie et gouvernance des correctifs pour réduire à la fois l'exploitabilité et le rayon d'explosion.

---

🧼 Notes d'anonymisation de la publication

• Les identifiants d'infrastructure sensibles, adresses IP, noms d'hôtes, credentials, hachages et adresses e-mail ont été remplacés par des espaces réservés explicites.
• Les preuves opérationnelles réutilisables ont été minimisées ou abstraites afin de garder le document adapté à une publication publique sur GitHub.
• Le document utilise une structure de style consultant conforme aux pratiques courantes des rapports de tests de sécurité web, comme les attentes de rapport OWASP WSTG.

---