p PatchFirst

PatchFirst · Свежие уязвимости

Уязвимости request-tracker5

За последние 30 дней в request-tracker5 опубликовано уязвимостей: 0; в каталоге KEV: 0.

RSS ↗ JSON ↗
Фильтры уязвимостей
Сбросить фильтры

Уязвимостей: 21

  1. CVE-2026-44230

    Средний · CVSS 6.1EPSS 0,15%Есть исправление

    RT: Reflected Cross-Site Scripting in search results chart

    RT is an open source, enterprise-grade issue and ticket tracking system. Versions 5.0.4 up to (but not including) 5.0.10, and 6.0.0 up to (but not including) 6.0.3 contain a reflected Cross-Site Scripting (XSS) vulnerability where an attacker who can induce an authenticated RT user to visit a crafted URL can execute arbitrary JavaScript in that user's browser session. This issue has been fixed in versions 5.0.10 and 6.0.3.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-4+deb13u3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  2. CVE-2026-44231

    Критический · CVSS 9.1EPSS 0,25%Есть исправление

    RT: Privilege escalation and information disclosure via REST 2.0 user collection endpoint

    RT is an open source, enterprise-grade issue and ticket tracking system. Versions prior to 5.0.10, 6.0.0 and above, prior to 6.0.3 contain an information disclosure and privilege escalation vulnerability in the REST 2.0 API. A privileged (non-administrative) user can obtain authentication credentials belonging to other users — including users with administrative privileges — and use those credentials to read data as those users via RT's feed endpoints. The same request that exposes the credentials also rotates them, invalidating previously-distributed feed URLs across the instance. This issue has been fixed in versions 5.0.10 and 6.0.3.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-4+deb13u3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  3. CVE-2026-44229

    Средний · CVSS 5.4EPSS 0,14%Есть исправление

    RT: Cross-Site Scripting via inline-served uploaded content

    RT is an open source, enterprise-grade issue and ticket tracking system. Versions 5.0.0 and 6.0.0 and above, prior to both 5.0.10 and 6.0.3 contain a Cross-Site Scripting (XSS) vulnerability where uploaded content is served inline rather than as an attachment. An authenticated user who can upload content can include JavaScript in the upload that will execute in the browser session of any RT user who later views or downloads it. This issue has been fixed in versions 5.0.10 and 6.0.3.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-4+deb13u3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  4. CVE-2026-41076

    Высокий · CVSS 8.1EPSS 0,39%Есть исправление

    RT: LDAP authentication bypass via empty password

    RT is an open source, enterprise-grade issue and ticket tracking system. Versions 5.0.9 and prior in addition to 6.0.0 through 6.0.2 contain an authentication bypass vulnerability in RT installations that use LDAP/AD for user authentication. Under certain LDAP server configurations, an attacker may be able to authenticate as any LDAP-backed RT user without supplying valid credentials. This issue has been fixed in versions 5.0.10 and 6.0.3. If developers are unable to upgrade immediately, they can temporarily work around this issue by reviewing their LDAP server's authentication policy to ensure it rejects unauthenticated bind attempts. Upgra

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-4+deb13u3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  5. CVE-2026-41075

    Высокий · CVSS 8.8EPSS 0,34%Есть исправление

    RT: SQL injection via entry_aggregator parameter in JSON search

    RT is an open source, enterprise-grade issue and ticket tracking system. Versions 5.0.0 through 5.0.9 and 6.0.0 through 6.0.2 contain an SQL injection vulnerability. An authenticated user can craft input that is incorporated into database queries without proper validation, potentially allowing them to read or modify data in the RT database. This issue has been fixed in versions 5.0.10 and 6.0.3. If developers are unable to upgrade immediately, they can temporarily work around this issue by restricting RT account access to trusted users.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-4+deb13u3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  6. CVE-2026-41073

    Средний · CVSS 4.6EPSS 0,17%Есть исправление

    RT: Spreadsheet downloads vulnerable to CSV/formula injection in Microsoft Excel and similar apps

    RT is an open source, enterprise-grade issue and ticket tracking system. Versions prior to 5.0.10 and 6.0.0 through 6.0.2 contain a spreadsheet (CSV/formula) injection vulnerability. User-controlled data in spreadsheet exports is not sanitized before being written to the output file, which can cause spreadsheet applications to interpret crafted values as formulas or macros when the file is opened. This issue has been fixed in versions 5.0.10 and 6.0.3. If developers are unable to upgrade immediately, they can temporarily work around this issue by avoiding opening exported RT spreadsheet files directly in spreadsheet applications when the data

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-4+deb13u3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  7. CVE-2026-6841

    Средний · CVSS 5.1EPSS 0,24%Есть исправление

    Reflected XSS in Request Tracker

    Request Tracker is vulnerable to a reflected cross-site scripting (XSS) vulnerability via the "Page" parameter in GET requests. An attacker can craft a URL that, when opened, results in arbitrary JavaScript execution in the victim’s browser. This vulnerability affects versions from 5.0.4 up to 5.0.9 and from 6.0.0 up to 6.0.2.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-4+deb13u3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  9. CVE-2025-9158

    Средний · CVSS 5.3EPSS 0,45%Есть исправление

    Stored XSS in Request Tracker

    The Request Tracker software is vulnerable to a Stored XSS vulnerability in calendar invitation parsing feature, which displays invitation data without HTML sanitization. XSS vulnerability allows an attacker to send a specifically crafted e-mail enabling JavaScript code execution by displaying the ticket in the context of the logged-in user. This vulnerability affects versions from 5.0.4 through 5.0.8 and from 6.0.0 through 6.0.1.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-4+deb13u1
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  13. CVE-2025-30087

    Высокий · CVSS 7.2EPSS 0,33%Есть исправление

    CVE-2025-30087

    Best Practical RT (Request Tracker) 4.4 through 4.4.7 and 5.0 through 5.0.7 allows XSS via injection of crafted parameters in a search URL.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  14. CVE-2025-2545

    Низкий · CVSS 2.3EPSS 0,19%Есть исправление

    Deprecated 3DES cryptographic algorithm used by Request Tracker in emails encrypted with S/MIME

    Vulnerability in Best Practical Solutions, LLC's Request Tracker prior to v5.0.8, where the Triple DES (3DES) cryptographic algorithm is used to protect emails sent with S/MIME encryption. Triple DES is considered obsolete and insecure due to its susceptibility to birthday attacks, which could compromise the confidentiality of encrypted messages.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-3
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  15. CVE-2024-3262

    Средний · CVSS 5.5EPSS 0,29%Есть исправление

    Information exposure vulnerability in Request Tracker (RT)

    Information exposure vulnerability in RT software affecting version 4.4.1. This vulnerability allows an attacker with local access to the device to retrieve sensitive information about the application, such as vulnerability tickets, because the application stores the information in the browser cache, leading to information exposure despite session termination.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.7+dfsg-1
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  16. CVE-2023-45024

    Высокий · CVSS 7.5EPSS 0,71%Есть исправление

    CVE-2023-45024

    Best Practical Request Tracker (RT) 5 before 5.0.5 allows Information Disclosure via a transaction search in the transaction query builder.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.5+dfsg-1
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  17. CVE-2023-41260

    Высокий · CVSS 7.5EPSS 0,87%Есть исправление

    CVE-2023-41260

    Best Practical Request Tracker (RT) before 4.4.7 and 5.x before 5.0.5 allows Information Exposure in responses to mail-gateway REST API calls.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.5+dfsg-1
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  18. CVE-2023-41259

    Высокий · CVSS 7.5EPSS 0,88%Есть исправление

    CVE-2023-41259

    Best Practical Request Tracker (RT) before 4.4.7 and 5.x before 5.0.5 allows Information Disclosure via fake or spoofed RT email headers in an email message or a mail-gateway REST API call.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.5+dfsg-1
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  20. CVE-2022-25802

    Средний · CVSS 6.1EPSS 0,83%Есть исправление

    CVE-2022-25802

    Best Practical Request Tracker (RT) before 4.4.6 and 5.x before 5.0.3 allows XSS via a crafted content type for an attachment.

    request-tracker5Операционные системы
    • Обновитесь до 5.0.3+dfsg-1
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

Проверьте свой сервер

Сопоставьте установленный стек и версии со свежими базами уязвимостей.

Проверьте свой сервер →