CVE-2026-48208
Negação de Serviço via Renderização de SVG em Ticket
- Publicado
- 1 de jun. de 2026
- Atualizado
- 1 de jun. de 2026
- Atribuindo CNA
- OTRS
- Evidência observada
- 17 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:HBaixo · próximos 30 dias
- Percentil
- 40,4%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Uma neutralização inadequada de conteúdo SVG ativo na renderização de artigos de chamados no OTRS ou na ((OTRS)) Community Edition permite que atacantes injetem payloads SVG especialmente elaborados por meio do conteúdo de e-mails, levando ao esgotamento de recursos no navegador e à negação de serviço quando chamados afetados são abertos por um agente ou cliente. O problema pode ser explorado sem a execução de JavaScript e não é mitigado pela Política de Segurança de Conteúdo (CSP) configurada. Este problema afeta o OTRS: * 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X antes de 2026.4.X Observe que a ((OTRS)) Community Edition 6.x e versões anteriores são vulneráveis. Produtos baseados na ((OTRS)) Community Edition também têm grande probabilidade de serem afetados.
Fontes
Este é um repositório de POC para CVE-2026-48208.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.