CVE-2026-114392

Trudesk through 1.2.11 Authorization Bypass via GET /api/v1/tickets/:uid

CVSS 3.1Medium

6.9/ 10.0

Опубликовано

21 октября 2026 г.

Обновлено

23 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите Trudesk до версии выше 1.2.11 либо ограничьте доступ к маршруту GET /api/v1/tickets/:uid с помощью API Gateway/WAF.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход авторизации в REST API хелпдеска Trudesk. Уязвимость позволяет получить доступ к данным тикетов без соответствующих прав.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Эндпоинт GET /api/v1/tickets/:uid не проверяет права запрашивающего пользователя на просмотр конкретного тикета по его идентификатору uid.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Неавторизованное чтение конфиденциальной переписки, персональных данных и вложений в тикетах службы поддержки.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

zineausa.comhttps://zineausa.com/blog/2026/10/trudesk-1-2-11-unauthorized-ticket-access-idor/
github.comhttps://github.com/polonel/trudesk/issues/754
hackmd.iohttps://hackmd.io/@leediay/multiple-vuln-trudesk-1211
www.vulncheck.comhttps://www.vulncheck.com/advisories/trudesk-through-1.2.11-authorization-bypass-via-get-api-v1-tickets-uid
github.comhttps://github.com/polonel/trudesk/blob/v1.2.11/src/controllers/api/v1/tickets.js#L721-L740
github.comhttps://github.com/polonel/trudesk

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-114392: Trudesk through 1.2.11 Authorization Bypass via GET /api/v1/tickets/:uid. URL: https://cve.futuretools.ru/cve/CVE-2026-114392

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_114392,
  title = {{CVE-2026-114392: Trudesk through 1.2.11 Authorization Bypass via GET /api/v1/tickets/:uid}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114392}},
  note = {Оперативный инженерный анализ киберугроз}
}