[!IMPORTANT] यह रिपोर्ट सार्वजनिक GitHub प्रकाशन के लिए जानबूझकर स्वच्छीकृत की गई है। संवेदनशील पहचानकर्ता, क्रेडेंशियल्स, बुनियादी ढाँचे के मान और ग्राहक-विशिष्ट साक्ष्य को स्पष्ट प्लेसहोल्डर से बदल दिया गया है।

🧭 त्वरित नेविगेशन

• कार्यकारी सारांश
• तकनीकी विश्लेषण
• प्रभाव
• सुधार
• सीखे गए सबक और शमन रणनीति

[!TIP] त्वरित समीक्षा के लिए, कार्यकारी सारांश और प्रभाव अनुभागों से शुरुआत करें। तकनीकी गहराई के लिए, तकनीकी विश्लेषण और सुधार में जारी रखें।

🏷️ शीर्षक

CVE-2026-36214 - osTicket स्टोर्ड XSS Bootstrap Tooltip के माध्यम से

🧾 कार्यकारी सारांश

osTicket (संस्करण 1.10 से 1.17.7 और 1.18.0 से 1.18.3) टिकट प्रबंधन प्रणाली में Bootstrap Tooltip 3.3.4 घटक (जो CVE-2019-8331 भेद्यता के लिए जाना जाता है) के उपयोग से उत्पन्न संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (Stored XSS) सुरक्षा भेद्यता।

यह भेद्यता एक सामान्य उपयोगकर्ता (टिकट बनाते समय अप्रमाणित) को टिकट संदेश में दुर्भावनापूर्ण JavaScript कोड इंजेक्ट करने की अनुमति देती है। जब यह संदेश किसी एजेंट या प्रशासक द्वारा देखा जाता है, तो कोड उनके सत्र के संदर्भ में निष्पादित होता है, जिससे सत्र चोरी और टिकट प्रणाली पर पूर्ण नियंत्रण संभव होता है।

🔬 तकनीकी विश्लेषण

कमजोरी का मूल्यांकन एप्लिकेशन-सुरक्षा और बुनियादी ढाँचा-जोखिम दृष्टिकोण से किया गया। मूल मुद्दे को संग्रहीत XSS के रूप में वर्गीकृत किया गया और इसे सार्वजनिक पोर्टफोलियो प्रकाशन के लिए उपयुक्त स्वच्छीकृत रूप में दस्तावेज़ित किया गया।

osTicket एक ओपन-सोर्स टिकट प्रणाली है जिसका व्यापक रूप से संगठनों में उपयोग किया जाता है। यह उपयोगकर्ताओं को टिकटों के भीतर HTML सामग्री और फ़ाइल संलग्नक अपलोड करने की अनुमति देता है।

📊 प्रभाव

• विश्वसनीय उपयोगकर्ता सत्रों में हमलावर-नियंत्रित स्क्रिप्ट का निष्पादन।
• सत्र दुरुपयोग, अनधिकृत कार्रवाइयाँ, और ग्राहक-सामना करने वाले पोर्टलों के लिए प्रतिष्ठा जोखिम।

🛠️ सुधार

🧠 सीखे गए सबक और शमन रणनीति

• प्रत्येक एकीकरण सीमा को अविश्वसनीय मानें, विशेषकर जब एप्लिकेशन तर्क उपयोगकर्ता-नियंत्रित मानों को फ़ाइल सिस्टम, शेल, पार्सर या बाहरी उपकरणों पर अग्रेषित करता है।
• सुरक्षा समीक्षाओं को पूर्ण शोषण श्रृंखला को मान्य करना चाहिए, न कि केवल पहले कमजोर एंडपॉइंट को; निम्न-गंभीरता वाले गलत कॉन्फ़िगरेशन श्रृंखलित होने पर गंभीर बन सकते हैं।
• सार्वजनिक-सामने वाले दस्तावेज़ीकरण में संचालन पहचानकर्ता, क्रेडेंशियल्स या पुन: प्रयोज्य शोषण कलाकृतियों को उजागर किए बिना जोखिम, मूल कारण और सुधार का वर्णन होना चाहिए।
• रक्षात्मक नियंत्रणों में निवारक मान्यता, रनटाइम न्यूनतम विशेषाधिकार, टेलीमेट्री और पैच प्रशासन का संयोजन होना चाहिए ताकि शोषण क्षमता और विस्फोट त्रिज्या दोनों को कम किया जा सके।

🧼 प्रकाशन स्वच्छीकरण नोट्स

• संवेदनशील बुनियादी ढाँचा पहचानकर्ता, IP पते, होस्टनाम, क्रेडेंशियल्स, हैश और ईमेल पतों को स्पष्ट प्लेसहोल्डर से बदल दिया गया।
• पुन: प्रयोज्य संचालन साक्ष्य को कम या अमूर्त किया गया ताकि दस्तावेज़ सार्वजनिक GitHub प्रकाशन के लिए उपयुक्त हो।
• दस्तावेज़ OWASP WSTG रिपोर्टिंग अपेक्षाओं जैसे सामान्य वेब सुरक्षा परीक्षण रिपोर्ट प्रथाओं के साथ संरेखित सलाहकार-शैली संरचना का उपयोग करता है।