OTRS Email Body CVE-2012-4751 HTML Injection Vulnerability

Bugtraq ID:	56093
Class:	Input Validation Error
CVE:	CVE-2012-4751
Remote:	Yes
Local:	No
Published:	Oct 17 2012 12:00AM
Updated:	Mar 19 2015 09:09AM
Credit:	Mike Eduard
Vulnerable:	OTRS OTRS 3.0.10 OTRS OTRS 3.0.7 OTRS OTRS 3.0.6 OTRS OTRS 3.0.5 OTRS OTRS 3.0 beta7 OTRS OTRS 3.0 beta6 OTRS OTRS 3.0 beta5 OTRS OTRS 3.0 beta4 OTRS OTRS 3.0 beta3 OTRS OTRS 3.0 beta2 OTRS OTRS 3.0 beta1 OTRS OTRS 2.4.11 OTRS OTRS 2.4.10 OTRS OTRS 2.4.9 OTRS OTRS 2.4.8 OTRS OTRS 2.4.7 OTRS OTRS 2.4.6 OTRS OTRS 2.4.5 OTRS OTRS 2.4.4 OTRS OTRS 2.4.3 OTRS OTRS 2.4.2 OTRS OTRS 3.0.4 OTRS OTRS 3.0.3 OTRS OTRS 3.0.2 OTRS OTRS 3.0.1 OTRS OTRS 2.4.1 OTRS OTRS 2.4.0 Beta6 OTRS OTRS 2.4.0 Beta5 OTRS OTRS 2.4.0 Beta4 OTRS OTRS 2.4.0 Beta3 OTRS OTRS 2.4.0 Beta2 OTRS OTRS 2.4.0 Beta1
Not Vulnerable:

OTRS Email Body CVE-2012-4751 HTML Injection Vulnerability

OTRS is prone to an HTML-injection vulnerability because it fails to properly sanitize user-supplied input before using it in dynamically generated content.

Successful exploits will allow attacker-supplied HTML and script code to run in the context of the affected browser, potentially allowing the attacker to steal cookie-based authentication credentials, or to control how the site is rendered to the user. Other attacks are also possible.

The following versions are vulnerable:

OTRS 2.4.x versions prior to 2.4.15
OTRS 3.0.x versions prior to 3.0.17
OTRS 3.1.x versions prior to 3.1.11

OTRS Email Body CVE-2012-4751 HTML Injection Vulnerability

Attackers can use a browser to exploit this issue.

OTRS Email Body CVE-2012-4751 HTML Injection Vulnerability

References:

• OTRS Homepage (OTRS)
  
• Security Advisory 2012-03 (OTRS)
  
• OTRS contains a cross-site scripting vulnerability (US-CERT)