В Request Tracker и RT for Incident Response есть уязвимости хранимого межсайтового скриптинга. Так называют случай, когда чужой код сохраняется на сервере и исполняется в браузере того, кто откроет страницу. Оставить такой код в заявке может и посторонний: достаточно письма в очередь, открытую для внешних отправителей. Уязвимы ветки 5.0 и 6.0 у обоих продуктов, исправления уже вышли.
Почта в RT, формы RTIR и фильтр HTML-разметки
Request Tracker (RT) - система обработки заявок: она принимает письма, раскладывает их по очередям и хранит переписку. Для разбора инцидентов информационной безопасности служит надстройка RT for Incident Response (RTIR). Очередь, принимающая почту от внешних адресатов, часто даёт анонимным отправителям право создать заявку и ответить в ней. Описанные случаи касаются именно таких конфигураций. Записи вышли 30 октября 2026 года; их назначил CERT-PL, автор - Mateusz Szymaniec из CERT.PL.
Оценка у всех записей одна: 5,3 из 10 по шкале CVSS 4.0, общей системе оценки уязвимостей; это уровень Medium. По описанию атака идёт по сети, сложность у неё низкая, учётные данные не нужны, участие пользователя пассивное. Обогащение CISA сообщает, что эксплуатации не зафиксировали, автоматизировать атаку нельзя, а техническое влияние частичное. Публичных свидетельств реальных атак нет.
Одна из ошибок, CVE-2026-105454, касается самого RT. Служебные символы HTML, языка разметки веб-страниц, механизм автоматических ссылок не экранирует: адрес попадает в ссылку как есть. За её границы выходит специально собранный адрес, и рядом появляется посторонний код. Тот исполняется при показе истории заявки, без действий смотрящего. Внедрить код может каждый, кто способен добавить HTML-содержимое в заявку, включая анонимного отправителя письма.
Другая ошибка - в формах RTIR. Когда сотрудник разделяет заявку или создаёт инцидент из полученного сообщения, форма показывает тему связанной заявки и выводит её без экранирования. Скрипт в теме исполняется в момент открытия формы. По умолчанию RTIR разрешает всем создавать сообщения об инцидентах, поэтому тему задаёт анонимный отправитель письма. Дальше код работает в сессии обработчика и действует с его правами.
Ещё одна ошибка, CVE-2026-105456, связана с фильтром HTML-разметки, который вычищает опасные теги из писем и заявок. RTIR расширяет фильтр, чтобы пропускать внутреннюю метку ссылки. Расширение пропускает любую ссылку, где эта метка встречается, включая ссылки со схемой javascript: - по такой браузер исполняет код. Действует оно на весь экземпляр RT после установки RTIR, а не только на её очереди.
Здесь нужен клик по ссылке, хотя оценка относит участие пользователя к пассивному. Зато сама ссылка хранится в заявке заранее и доступна анонимному отправителю почты в очередь сообщений об инцидентах.
Исправления уже доступны: их выпустила Best Practical Solutions. RT закрывают выпуски 5.0.11 и 6.0.4. В RTIR ветку 6.0 закрывает 6.0.4, а ошибка с темой заявки в ветке 5.0 не проявляется; выпуск 5.0.11 закрывает расширение фильтра. Для RT вендор приводит обходную меру: отключить автоматическое создание ссылок (настройка Active_MakeClicky в конфигурации сайта) и перезапустить веб-сервер. Для ошибок RTIR обходных мер в записях нет.
RT и RTIR нужно поднять до 5.0.11 или 6.0.4 в зависимости от ветки. Если обновление отложено, для RT остаётся отключить автоматическое создание ссылок. Для RTIR заменителей вендор не предложил, поэтому остаются обновление и отслеживание записей. Обе системы стоят на входе почты от внешних отправителей. Письмо в открытую очередь может принести код, который затем работает с правами сотрудника, разбирающего заявки.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-105454
- https://www.cve.org/CVERecord?id=CVE-2026-105455
- https://www.cve.org/CVERecord?id=CVE-2026-105456
