---

📍 Resumo do Relatório

[!IMPORTANT] Este relatório foi intencionalmente saneado para publicação pública no GitHub. Identificadores sensíveis, credenciais, valores de infraestrutura e evidências específicas de clientes foram substituídos por espaços reservados claros.

🧭 Navegação Rápida

• Resumo Executivo
• Análise Técnica
• Impacto
• Remediação
• Lições Aprendidas e Estratégia de Mitigação

[!TIP] Para uma revisão rápida, comece pelas seções Resumo Executivo e Impacto. Para aprofundamento técnico, continue na Análise Técnica e na Remediação.

🏷️ Título

CVE-2026-36214 - XSS Armazenado no osTicket via Bootstrap Tooltip

---

🧾 Resumo Executivo

Uma vulnerabilidade de segurança do tipo Cross-Site Scripting (XSS) armazenado no sistema de tickets osTicket (versões 1.10 até 1.17.7 e 1.18.0 até 1.18.3), originada do uso do componente Bootstrap Tooltip 3.3.4, conhecido pela vulnerabilidade CVE-2019-8331.

Esta vulnerabilidade permite que um usuário comum (não autenticado ao criar o ticket) injete código JavaScript malicioso na mensagem do ticket. Quando essa mensagem é visualizada por um agente (Agent) ou administrador (Admin), o código é executado no contexto da sessão deles, permitindo o roubo de sessão e o controle total do sistema de tickets.

---

🔬 Análise Técnica

A vulnerabilidade foi avaliada sob a perspectiva de segurança de aplicações e risco de infraestrutura. O problema central é classificado como Stored XSS e foi documentado de forma saneada, adequada para publicação pública em portfólio.

osTicket é um sistema de tickets de código aberto amplamente utilizado em organizações. Ele permite que os usuários façam upload de conteúdo HTML e arquivos anexados nos tickets.

---

📊 Impacto

• Execução de script controlado pelo atacante em sessões confiáveis de usuários.
• Abuso de sessão, ações não autorizadas e exposição reputacional para portais voltados ao cliente.

---

🛠️ Remediação

---

🧠 Lições Aprendidas e Estratégia de Mitigação

• Trate todo limite de integração como não confiável, especialmente quando a lógica da aplicação encaminha valores controlados pelo usuário para sistemas de arquivos, shells, parsers ou ferramentas externas.
• As revisões de segurança devem validar toda a cadeia de exploração, não apenas o primeiro endpoint vulnerável; configurações incorretas de baixa gravidade podem se tornar críticas quando encadeadas.
• A documentação pública deve descrever risco, causa raiz e remediação sem expor identificadores operacionais, credenciais ou artefatos de exploração reutilizáveis.
• Os controles defensivos devem combinar validação preventiva, privilégio mínimo em tempo de execução, telemetria e governança de patches para reduzir tanto a explorabilidade quanto o raio de impacto.

---

🧼 Notas de Saneamento da Publicação

• Identificadores sensíveis de infraestrutura, endereços IP, nomes de host, credenciais, hashes e endereços de e-mail foram substituídos por espaços reservados explícitos.
• Evidências operacionais reutilizáveis foram minimizadas ou abstraídas para manter o documento adequado à publicação pública no GitHub.
• O documento usa uma estrutura no estilo consultoria, alinhada a práticas comuns de relatórios de teste de segurança web, como as expectativas de relatório do OWASP WSTG.

---