---

📍 Краткая сводка отчёта

[!IMPORTANT] Этот отчёт намеренно анонимизирован для публичной публикации на GitHub. Конфиденциальные идентификаторы, учётные данные, значения инфраструктуры и доказательства, относящиеся к конкретному клиенту, заменены понятными заполнителями.

🧭 Быстрая навигация

• Исполнительное резюме
• Технический анализ
• Влияние
• Устранение
• Извлечённые уроки и стратегия смягчения последствий

[!TIP] Для быстрого ознакомления начните с разделов «Исполнительное резюме» и «Влияние». Для технической глубины переходите к разделам «Технический анализ» и «Устранение».

🏷️ Название

CVE-2026-36214 - osTicket: хранимый XSS через Bootstrap Tooltip

---

🧾 Исполнительное резюме

Хранимая уязвимость типа Cross-Site Scripting (XSS) в системе управления тикетами osTicket (версии 1.10–1.17.7 и 1.18.0–1.18.3), возникающая из-за использования компонента Bootstrap Tooltip 3.3.4, для которого известна уязвимость CVE-2019-8331.

Эта уязвимость позволяет обычному пользователю (без аутентификации при создании тикета) внедрять вредоносный JavaScript-код в сообщение тикета. При просмотре этого сообщения агентом (Agent) или администратором (Admin) код выполняется в контексте их сессии, что позволяет похитить сессию и получить полный контроль над системой тикетов.

---

🔬 Технический анализ

Уязвимость оценивалась с точки зрения безопасности приложений и инфраструктурных рисков. Основная проблема классифицируется как хранимый XSS и задокументирована в анонимизированном виде, пригодном для публикации в портфолио.

osTicket — это система тикетов с открытым исходным кодом, широко используемая в организациях. Она позволяет пользователям загружать HTML-содержимое и вложения в рамках тикетов.

---

📊 Влияние

• Выполнение управляемого атакующим сценария в сессиях доверенных пользователей.
• Злоупотребление сессиями, несанкционированные действия и репутационный ущерб для клиентских порталов.

---

🛠️ Устранение

---

🧠 Извлечённые уроки и стратегия смягчения последствий

• Рассматривайте каждую границу интеграции как недоверенную, особенно когда логика приложения передаёт управляемые пользователем значения файловым системам, оболочкам, парсерам или внешним инструментам.
• Проверки безопасности должны оценивать всю цепочку эксплуатации, а не только первую уязвимую конечную точку; незначительные ошибки конфигурации могут стать критическими при объединении в цепочку.
• Публичная документация должна описывать риск, первопричину и меры по устранению, не раскрывая эксплуатационные идентификаторы, учётные данные или повторно используемые артефакты эксплуатации.
• Средства защиты должны сочетать превентивную валидацию, минимальные привилегии во время выполнения, телеметрию и управление обновлениями, чтобы снизить как эксплуатируемость, так и радиус поражения.

---

🧼 Примечания по анонимизации публикации

• Конфиденциальные идентификаторы инфраструктуры, IP-адреса, имена хостов, учётные данные, хеши и адреса электронной почты были заменены явными заполнителями.
• Повторно используемые эксплуатационные данные были минимизированы или абстрагированы, чтобы документ оставался пригодным для публичной публикации на GitHub.
• Документ использует консультационную структуру, соответствующую распространённой практике построения отчётов о тестировании веб-безопасности, например, ожиданиям к отчётам по методологии OWASP WSTG.

---