OTRSによる報告：

エージェントとしてOTRSにログインしている攻撃者が、OTRSから特別なURLをリクエストする可能性があります。これにより、Webサーバーのユーザー権限でシェルコマンドが実行される可能性があります。

OTRSに顧客としてログインしている攻撃者がチケット検索フォームを使用して、顧客チケットの内部の記事情報が漏洩する可能性があります。

エージェントとしてOTRSにログインしている攻撃者が、OTRSまたはWebサーバーのユーザー権限でフォームパラメーターを操作し、任意のシェルコマンドを実行する可能性があります。

攻撃者が、特別に準備したメールをOTRSシステムに送信する可能性があります。このシステムでクッキーのサポートが無効になっており、ログインしているエージェントがこのメールのリンクをクリックすると、セッション情報が外部システムに漏洩し、攻撃者がエージェントのセッションを乗っ取る可能性があります。

検出

FreeBSD：OTRS -- 複数の脆弱性（cebd05d6-ed7b-11e7-95f2-005056925db4）

high Nessus プラグイン ID 105503

バージョン 3.7