---

📍 报告快照

[!IMPORTANT] 本报告已特意脱敏，以便在 GitHub 上公开发布。敏感标识符、凭证、基础设施值及客户特定证据均已替换为清晰的占位符。

🧭 快速导航

• 高管摘要
• 技术分析
• 影响
• 修复
• 经验教训与缓解策略

[!TIP] 如需快速审阅，建议从“高管摘要”和“影响”部分开始。如需深入了解技术细节，请继续阅读“技术分析”和“修复”部分。

🏷️ 标题

CVE-2026-36214 - osTicket 存储型 XSS（通过 Bootstrap Tooltip）

---

🧾 高管摘要

在 osTicket（版本 1.10 至 1.17.7 以及 1.18.0 至 1.18.3）工单管理系统中发现了一种 存储型跨站脚本 (XSS) 漏洞，该漏洞源于使用了已知存在漏洞 CVE-2019-8331 的 Bootstrap Tooltip 3.3.4 组件。

该漏洞允许普通用户（创建工单时无需身份验证）在工单消息中注入恶意 JavaScript 代码。当 客服 (Agent) 或 管理员 (Admin) 查看该消息时，代码会在其会话上下文中执行，从而导致会话劫持并完全控制工单系统。

---

🔬 技术分析

该弱点从应用安全与基础设施风险角度进行了评估。核心问题被归类为 存储型 XSS，并以适合公开作品集发布的脱敏形式进行了记录。

osTicket 是一款被众多组织广泛使用的开源工单系统。它允许用户在工单中提交 HTML 内容和附件。

---

📊 影响

• 攻击者控制的脚本在可信用户会话中执行。
• 会话被滥用、执行未授权操作，以及面向客户的门户面临声誉风险。

---

🛠️ 修复

---

🧠 经验教训与缓解策略

• 将每一个集成边界视为不可信，特别是当应用程序逻辑将用户可控的值转发给文件系统、shell、解析器或外部工具时。
• 安全评审应验证完整的利用链，而不仅仅是第一个易受攻击的端点；低严重性的配置错误在链式利用中可能变得关键。
• 面向公众的文档应描述风险、根本原因和修复措施，而不暴露运营标识符、凭证或可重用的利用成品。
• 防御控制应结合预防性验证、运行时最小权限、遥测和补丁治理，以降低可利用性和爆炸半径。

---

🧼 发布脱敏说明

• 敏感基础设施标识符、IP 地址、主机名、凭证、哈希值和电子邮件地址已替换为明确的占位符。
• 可重用的运营证据已最小化或抽象化，以确保文档适合在 GitHub 上公开发布。
• 文档采用了顾问式结构，符合常见的 Web 安全测试报告规范（如 OWASP WSTG 报告期望）。

---