Opis podatności

Mateusz Szymaniec z CERT Polska w ramach własnych badań odkrył podatności w oprogramowaniu Request Tracker oraz RT for Incident Response i uczestniczył w koordynacji ich ujawnienia.

Podatność CVE-2026-105454: W oprogramowaniu RT zidentyfikowano podatność typu Stored Cross-Site Scripting. Podczas automatycznego tworzenia linków dla adresów URL w treści zgłoszeń HTML program nie zabezpiecza poprawnie adresu URL, co umożliwia atakującemu wstrzyknięcie skryptu do zgłoszenia, który uruchamia się podczas wyświetlania historii zgłoszenia. Nieuwierzytelniony atakujący może umieścić szkodliwy link w wiadomości email wysłanej do kolejki przyznającej uprawnienia CreateTicket lub ReplyToTicket grupie Everyone.

Problem został naprawiony w wersji 5.0.11 oraz 6.0.4

Podatność CVE-2026-105455: W RTIR zidentyfikowano podatność typu Cross-Site Scripting. Formularze do tworzenia incydentów i dzielenia zgłoszeń wyświetlają temat powiązanego raportu bez escapowania znaków HTML. Ponieważ RTIR domyślnie pozwala każdemu tworzyć raporty, nieuwierzytelniony atakujący może przesłać raport w wiadomości mailowej ze złośliwym skryptem w temacie. Skrypt wykonuje się w sesji osoby obsługującej incydenty po otwarciu formularza.

Problem został naprawiony w wersji 6.0.4. Oprogramowanie w wersji 5.0 nie jest podatne.

Podatność CVE-2026-105456: W RTIR zidentyfikowano podatność typu Cross-Site Scripting. RTIR niepoprawnie rozszerza scrubber HTML w RT umożliwiający wstawianie placeholdera dla linków wewnętrznych. W efekcie dowolny link zawierający ten placeholder zostanie przepuszczony, również taki z dodatkowo wykonywalnym schematem javascript:. Zmiana dotyczy całej instancji RT po zainstalowaniu RTIR, a nie tylko kolejek RTIR. Podatność umożliwia nieuwierzytelnionemu atakującemu wysłanie wiadomość e-mail w formacie HTML do kolejki Incident Reports, która jest domyślnie dostępna dla wszystkich. Skrypt uruchamia się po kliknięciu przez użytkownika obsługującego zgłoszenie.

Problem został naprawiony w wersji 5.0.11 oraz 6.0.4