CVE-2026-48188

Podatność wynika z nieprawidłowej walidacji danych wejściowych w module warstwy bazy danych. Atakujący może przesłać spreparowane zapytanie zawierające złośliwy payload SQL bez konieczności posiadania jakichkolwiek uprawnień. Atak jest możliwy wyłącznie wtedy, gdy serwer MySQL lub MariaDB jest skonfigurowany z trybem SQL NO_BACKSLASH_ESCAPES — w tym trybie standardowy mechanizm eskejpowania odwrotnego ukośnika jest wyłączony, co uniemożliwia skuteczną neutralizację złośliwych ciągów wejściowych przez aplikację. Pozwala to na manipulację zapytaniami SQL i ominięcie weryfikacji tożsamości użytkownika.

Atakujący bez żadnych uprawnień może uzyskać nieautoryzowany dostęp do systemu OTRS poprzez pominięcie mechanizmu logowania, co prowadzi do wysokiego naruszenia poufności oraz integralności przetwarzanych danych.

Należy zaktualizować OTRS do wersji 2026.4.X lub nowszej. Dla pozostałych gałęzi (7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X) oraz ((OTRS)) Community Edition 6.0.x należy zastosować patche dostępne u producenta zgodnie z referencjami (https://otrs.com/release-notes/otrs-security-advisory-2026-02/). Jako natychmiastowe obejście można rozważyć usunięcie trybu NO_BACKSLASH_ESCAPES z konfiguracji serwera MySQL/MariaDB, jeśli jest to dopuszczalne operacyjnie.

OTRS w wersjach 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X oraz 2026.X przed 2026.4.X; ((OTRS)) Community Edition w wersji 6.0.x; produkty oparte na ((OTRS)) Community Edition są z dużym prawdopodobieństwem również podatne. Podatność ujawnia się wyłącznie przy konfiguracji serwera MySQL/MariaDB z trybem SQL NO_BACKSLASH_ESCAPES.

Podatność dotyczy wyłącznie środowisk, w których serwer MySQL lub MariaDB jest skonfigurowany z trybem SQL NO_BACKSLASH_ESCAPES — instalacje z domyślną konfiguracją serwera bazy danych nie są narażone. Produkty innych dostawców oparte na ((OTRS)) Community Edition są według producenta z dużym prawdopodobieństwem również podatne.