CVE-2026-48188: Injeção de SQL via método de citação do MySQL no OTRS Community Edition

Visão geral

A CVE-2026-48188 é uma falha crítica de injeção de SQL na camada de banco de dados do OTRS e do ((OTRS)) Community Edition, classificada como CWE-20 (Validação de Entrada Inadequada). O registro indica que ela pode ser alcançada sem autenticação e pode levar a contorno de autenticação.

Impacto

O registro descreve injeção de SQL não autenticada que pode levar a contorno de autenticação.
A pontuação base CVSS 3.1 no registro é 9.1 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, que indica acesso pela rede, sem privilégios e sem interação do usuário.
O registro informa que o problema só afeta sistemas em que o servidor MySQL ou MariaDB está configurado com o modo SQL NO_BACKSLASH_ESCAPES.

Produtos e versões afetadas

Segundo o registro, estão afetados:

OTRS: versões 7.0.x, 8.0.x, 2023.x, 2024.x e 2025.x; versões 6.0.32 e anteriores; versões de 7.0.0 até 8.0.37, inclusive; versões de 2023.0.0 antes de 2026.4.1; e versões de 2026.x até 2026.3.x, inclusive.
((OTRS)) Community Edition: versão 6.x, conforme listado no registro.
Produtos baseados no ((OTRS)) Community Edition são descritos como muito provavelmente afetados, mas não são enumerados.

O registro não informa uma versão corrigida explícita. As faixas afetadas terminam antes de 2026.4.1, o que é um limite no registro e não uma entrada de correção confirmada.

Status de exploração

A entrada correspondente no catálogo KEV da CISA não está listada no registro.
O valor SSVC de exploração no registro é none, e o valor de automatização é yes.
Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
A probabilidade EPSS no registro é 0.00489, com percentil de 0.41202.

Correção e mitigação

Consulte o aviso de segurança do fornecedor e verifique se a sua instalação do OTRS ou do ((OTRS)) está nas faixas afetadas.
Planeje a atualização para uma versão que o fornecedor identifique como corrigida. O registro não informa a build corrigida, então confirme no aviso do fornecedor.
Até a correção, verifique se os servidores MySQL ou MariaDB estão com NO_BACKSLASH_ESCAPES habilitado e trate isso como fator prioritário na avaliação de risco. Teste qualquer alteração de modo SQL no servidor antes de aplicá-la.
Limite a exposição de rede da interface web do OTRS sempre que possível.

Orientações de detecção

Revise logs da aplicação e do banco de dados em busca de erros de SQL ou padrões de consulta incomuns em fluxos de login e autenticação.
Observe logins administrativos bem-sucedidos inesperados, especialmente de origens desconhecidas.
Confirme as configurações de sql_mode em todos os servidores MySQL ou MariaDB que atendem o OTRS.
As fontes não fornecem regras de detecção, então qualquer lógica de detecção deve ser validada localmente.

Limitações das informações disponíveis

O registro não informa versão corrigida nem entrada de patch.
As fontes consultadas não trazem detalhes técnicos além da descrição do registro.
O registro não traz a lista completa de produtos derivados do ((OTRS)) Community Edition.
Os dados de CVSS vêm do CNA e aparecem duas vezes no registro com os mesmos valores.

Perguntas frequentes

O que é a CVE-2026-48188?

É uma falha crítica de injeção de SQL na camada de banco de dados do OTRS e do ((OTRS)) Community Edition que, segundo o registro, pode ser alcançada sem autenticação e levar a contorno de autenticação.

Todas as instalações do OTRS são afetadas?

Segundo o registro, o problema só afeta sistemas em que o servidor MySQL ou MariaDB usa o modo SQL NO_BACKSLASH_ESCAPES. Produtos baseados no ((OTRS)) Community Edition são descritos como muito provavelmente afetados.

Há exploração conhecida na natureza?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.