Security Patch – OTOBO

OTOBO 11.1.0 Beta2

Pia Cebic — Mon, 27 Jul 2026 11:28:28 +0000

SECURITY ADVISORY

OTOBO 11.1.0 (Beta2) – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

27. Juli 2026
Security Patch Release
NIEDRIG
OTOBO 11.1 Beta

Security Fixes

[Security] SessionID-Bindung für Web-Upload-Cache – Der Cache war bisher durch eine kryptografisch unsichere Zufallszahl geschützt, wodurch authentifizierte Angreifer diese erraten und während der Artikelerstellung auf Anhänge anderer Nutzer zugreifen konnten. Diese Sicherheitslücke wurde geschlossen. [#5835]
[Security] Rekursion im Template-Generator verhindert / CVE-2025-26843 – Wir haben eine Denial-of-Service-Schwachstelle (DoS) in Ticket-Benachrichtigungen und Autoantworten behoben, durch die Angreifer Endlosschleifen auslösen konnten. [#5797]
[Security] FormDraftID – Eine Sicherheitslücke in FormDraftID erlaubte authentifizierten Agenten, die Entwürfe anderer Nutzer zu löschen. Diese wurde geschlossen. [#5675]
[Security] XSS-Schwachstellen – Wir haben zwei XSS-Schwachstellen in AgentTicketEmailResend sowie im Admin-Communication-Log behoben. [#5791] [#5790]
[Security] AgentTicketBulk – Durch eine fehlende Berechtigungsprüfung konnten Agenten bisher via Sammelaktion Tickets mit Tickets verknüpfen, auf die sie eigentlich keinen Zugriff hatten. Diese Sicherheitslücke wurde geschlossen. [#5723]
[Security] SysConfig-Deployment – Für das SysConfig-Deployment wurde eine fehlende Berechtigungsprüfung ergänzt. [#5818]
[Security] POST-Formulare – Für Artikel- und Ticket-Aktionen wurden POST-Formulare eingeführt, die CSRF-Sicherheitslücken in den Aktionen MarkAsImportant und QuickClose schließen. [#5817]

Changes

[Change] Queue- und Service-Auswahl – Die Auswahl von Queue und Service erfolgt in allen Formularen künftig in vertauschter Reihenfolge. [#5840]
[Change] FormDraft API – FormDraft-Methoden erfordern künftig immer die korrekte Objekt-ID. [#5825]

Bugfixes

[Bugfix] Ticket-Info-Widget – Die fehlerhafte Darstellung des Ticket-Info-Widgets in CustomerTicketZoom ist korrigiert. [#5000]
[Bugfix] Text-Einzug – Einzugs-Buttons (Indent) im CKEditor funktionieren wieder. [#5438]
[Bugfix] OIDC Login-Redirect – Keine doppelte URL-Kodierung mehr nach einem OIDC Redirect. [#5787]
[Bugfix] TicketAppointments-Event – Das Event wird nicht mehr fälschlich mehrfach ausgelöst. [#4220]

Verbesserungen

[Enhancement] Durch einen zusätzlichen Parameter „ExternalSource“ in der Übergangsaktion „DynamicFieldSet“ können übergebene Werte nun auch als externe Quelle interpretiert werden. [#5882]
[Enhancement] Die Übergangsaktion TicketCustomerSet unterstützt nun auch via „_Data“-Tag bereitgestellte Werte für Referenzfelder. [#5902]

Nächste Schritte

Update auf OTOBO 11.1.0 Beta2

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Download Security Patch

OTOBO 11.1 Change Log

Ein umfassender Überblick über alle aktuellen und vergangenen Änderungen.

➞ See all changes

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Für unsere Support-Kunden: Einfach über das Portal melden oder kurz anrufen – wir sind für Sie da.

Sie arbeiten noch nicht mit uns? Vielleicht ist jetzt der perfekte Zeitpunkt. Gern unterstützen wir Sie beim nächsten Update.

Melden Sie sich – wir freuen uns auf Sie!

Kontakt

OTOBO 11.0.17

Pia Cebic — Mon, 27 Jul 2026 11:27:44 +0000

SECURITY ADVISORY

OTOBO 11.0.17 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

27. Juli 2026
Security Patch Release
NIEDRIG
OTOBO 11.0

Security Fixes

[Security] SessionID-Bindung für Web-Upload-Cache – Der Cache war bisher durch eine kryptografisch unsichere Zufallszahl geschützt, wodurch authentifizierte Angreifer diese erraten und während der Artikelerstellung auf Anhänge anderer Nutzer zugreifen konnten. Diese Sicherheitslücke wurde geschlossen. [#5835]
[Security] Rekursion im Template-Generator verhindert / CVE-2025-26843 – Wir haben eine Denial-of-Service-Schwachstelle (DoS) in Ticket-Benachrichtigungen und Autoantworten behoben, durch die Angreifer Endlosschleifen auslösen konnten. [#5797]
[Security] FormDraftID – Eine Sicherheitslücke in FormDraftID erlaubte authentifizierten Agenten, die Entwürfe anderer Nutzer zu löschen. Diese wurde geschlossen. [#5675]
[Security] XSS-Schwachstellen – Wir haben zwei XSS-Schwachstellen in AgentTicketEmailResend sowie im Admin-Communication-Log behoben. [#5791] [#5790]
[Security] AgentTicketBulk – Durch eine fehlende Berechtigungsprüfung konnten Agenten bisher via Sammelaktion Tickets mit Tickets verknüpfen, auf die sie eigentlich keinen Zugriff hatten. Diese Sicherheitslücke wurde geschlossen. [#5723]
[Security] SysConfig-Deployment – Für das SysConfig-Deployment wurde eine fehlende Berechtigungsprüfung ergänzt. [#5818]

Changes

[Change] Systemkonfiguration – Die Übersetzung von Werten in der AdminSystemConfiguration wurde deaktiviert. [#5641]

Bugfixes

[Bugfix] DynamicField Database – Die Sortierung der PossibleValues in der Detailansicht der DynamicField Database wurde korrigiert. [#5642]
[Bugfix] Persönliche Einstellungen – Bestimmte persönliche Einstellungen anderer Agenten konnten beim Bearbeiten durch einen Admin verloren gehen. Dieses Verhalten ist nun behoben. [#5430]
[Bugfix] Dynamic-Field-Ticketkategorien – Bei längeren Werten schlugen wegen Kürzungen Farbauswahl und Übersetzung fehl. [#5329]
[Bugfix] Ticketinfo Widget – Die fehlerhafte Darstellung des Ticketinfo-Widgets in CustomerTicketZoom ist korrigiert. [#5000]
[Bugfix] AgentTicketArticleEdit – Beim nachträglichen Bearbeiten von Artikeln wurde im Ticket wie in der Versionsübersicht der ursprüngliche Autor auch als Bearbeiter angezeigt, das ist korrigiert. [#5620]
[Bugfix] DynamicField Import – Fehlende Update-Events für Script Dynamic Fields beim Import ergänzt. [#5485]
[Bugfix] DynamicField Text – Neues Multivalue-Element startet nun leer statt mit dem Wert des vorherigen Elements vorausgefüllt. [#5551]
[Bugfix] DF Reference Agent – Funktioniert nun auch ohne Filterung nach Gruppen. [#5469]
[Bugfix] Network Transport Endpoint – Begrenzung auf 250 Zeichen wurde aufgehoben. [#5262]
[Bugfix] Button „Show deleted articles“ – Lässt sich wieder deaktivieren. [#5445]
[Bugfix] Text-Einzug – Einzugs-Buttons (Indent) im CKEditor funktionieren wieder. [#5438]
[Bugfix] TicketAppointments-Event – Das Event wird nicht mehr fälschlich mehrfach ausgelöst. [#4220]

Verbesserungen

[Enhancement] Durch einen zusätzlichen Parameter „external Source“ in der Übergangsaktion „DynamicFieldSet“können übergebene Werte nun auch als externe Quelle interpretiert werden. [#5882]
[Enhancement] Die Übergangsaktion TicketCustomerSet unterstützt nun auch via „_Data“-Tag bereitgestellte Werte für Referenzfelder. [#5902]

Nächste Schritte

Update auf OTOBO 11.0.17

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Download Security Patch

OTOBO 11.0 Change Log

Ein umfassender Überblick über alle aktuellen und vergangenen Änderungen.

➞ See all changes

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Für unsere Support-Kunden: Einfach über das Portal melden oder kurz anrufen – wir sind für Sie da.

Sie arbeiten noch nicht mit uns? Vielleicht ist jetzt der perfekte Zeitpunkt. Gern unterstützen wir Sie beim nächsten Update.

Melden Sie sich – wir freuen uns auf Sie!

Kontakt

OTOBO 10.1.18

Pia Cebic — Mon, 27 Jul 2026 11:26:54 +0000

SECURITY ADVISORY

OTOBO 10.1.18 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

27. Juli 2026
Security Patch Release
NIEDRIG
OTOBO 10.1

Security Fixes

[Security] SessionID-Bindung für Web-Upload-Cache – Der Cache war bisher durch eine kryptografisch unsichere Zufallszahl geschützt, wodurch authentifizierte Angreifer diese erraten und während der Artikelerstellung auf Anhänge anderer Nutzer zugreifen konnten. Diese Sicherheitslücke wurde geschlossen. [#5835]
[Security] Rekursion im Template-Generator verhindert / CVE-2025-26843 – Wir haben eine Denial-of-Service-Schwachstelle (DoS) in Ticket-Benachrichtigungen und Autoantworten behoben, durch die Angreifer Endlosschleifen auslösen konnten. [#5797]
[Security] FormDraftID – Eine Sicherheitslücke in FormDraftID erlaubte authentifizierten Agenten, die Entwürfe anderer Nutzer zu löschen. Diese wurde geschlossen. [#5675]
[Security] XSS-Schwachstellen – Wir haben zwei XSS-Schwachstellen in AgentTicketEmailResend sowie im Admin-Communication-Log behoben. [#5791] [#5790]
[Security] AgentTicketBulk – Durch eine fehlende Berechtigungsprüfung konnten Agenten bisher via Sammelaktion Tickets mit Tickets verknüpfen, auf die sie eigentlich keinen Zugriff hatten. Diese Sicherheitslücke wurde geschlossen. [#5723]
[Security] SysConfig-Deployment – Für das SysConfig-Deployment wurde eine fehlende Berechtigungsprüfung ergänzt. [#5818]

Changes

[Change] Systemkonfiguration – Die Übersetzung von Werten in der AdminSystemConfiguration wurde deaktiviert. [#5641]

Bugfixes

[Bugfix] DynamicField Database: Die Sortierung der PossibleValues in der Detailansicht der DynamicField Database wurde korrigiert. [#5642]
[Bugfix] Persönliche Einstellungen – Bestimmte persönliche Einstellungen anderer Agenten konnten beim Bearbeiten durch einen Admin verloren gehen. Dieses Verhalten ist nun behoben. [#5430]
[Bugfix] Dynamic-Field-Ticketkategorien – Bei längeren Werten schlugen wegen Kürzungen Farbauswahl und Übersetzung fehl. [#5329]

Nächste Schritte

Update auf OTOBO 10.1.18

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Download Security Patch

OTOBO 10.1 Change Log

Ein umfassender Überblick über alle aktuellen und vergangenen Änderungen.

➞ See all changes

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Für unsere Support-Kunden: Einfach über das Portal melden oder kurz anrufen – wir sind für Sie da.

Sie arbeiten noch nicht mit uns? Vielleicht ist jetzt der perfekte Zeitpunkt. Gern unterstützen wir Sie beim nächsten Update.

Melden Sie sich – wir freuen uns auf Sie!

Kontakt

OTOBO 11.0.16

Pia Cebic — Thu, 23 Apr 2026 09:31:58 +0000

SECURITY ADVISORY

OTOBO 11.0.16 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

23. April 2026
Security Patch Release
MEDIUM
OTOBO 11.0

Security Fixes

[Security] Aktualisierung von Compress::Raw::Zlib zur Behebung von CVE-2026-3381 in Docker-Umgebungen – Wir haben die Abhängigkeit Compress::Raw::Zlib aktualisiert, um eine Sicherheitslücke zu schließen, die Docker-basierte OTOBO-Installationen betreffen konnte. Nicht-Docker-Systeme sind in der Regel nicht betroffen. [#5269]
[Security] Aktualisierung von Mozilla::CA – Wir haben die optionale Abhängigkeit Mozilla::CA, die an einigen Stellen als Default-Konfiguration vorgeschlagen wird, auf die aktuelle Version aktualisiert, um die Zertifikatsbasis aktuell zu halten. [#5245]
[Security] CVE-2025-59490: Behebung von XSS-Sicherheitslücken – Wir haben Cross-Site-Scripting-Schwachstellen (XSS) geschlossen, über die Angreifer durch manipulierte Links schadhaften Code im Browser von Nutzern ausführen konnten. Allen Nutzern wird ein Update auf diese Version empfohlen. [#5358, #5419]
[Security]CVE-2025-59393: Verbesserte Maskierung von Passwörtern im Support-Bundle-Generator – Wir haben sichergestellt, dass Passwörter und sensible Zugangsdaten beim Erstellen eines Support-Bundles zuverlässiger unkenntlich gemacht werden, um ein versehentliches Weitergeben von Zugangsdaten zu verhindern. [#5376]
[Security] Entfernung von Stack-Traces aus Frontend-Fehlermeldungen – Stack-Traces in Fehlermeldungen des Frontends werden nicht mehr an Nutzer ausgegeben, da sie interne Systeminformationen preisgeben und so potenziell als Angriffsfläche dienen konnten. [#5359]

Verbesserungen

[Enhancement] Verbesserte Ausgabe im Datenbank-Update-Skript für rel-11_0 – Das Datenbank-Update-Skript für rel-11_0 liefert nun aussagekräftigere Rückmeldungen während der Ausführung, was die Fehlerdiagnose und Nachverfolgung von Update-Vorgängen deutlich erleichtert. [#5208]
[Enhancement] Unterstützung von Connect-Attributen in Nicht-Haupt-Datenbanken – Verbindungsattribute können nun auch für Nicht-Haupt-Datenbanken konfiguriert werden, was eine flexiblere und feinere Steuerung der Datenbankverbindungen ermöglicht. (Wer in OTOBO mehrere Datenbanken betreibt – z.B. eine separate für Archivdaten – kann nun für jede dieser Datenbanken individuelle Verbindungseinstellungen wie Timeouts oder Zeichensätze festlegen.) [#5110]

Changes

[Change] E-Mail X-Header als externe Quelle für dynamische Felder – E-Mail X-Header werden nun als externe Datenquelle für dynamische Felder erkannt und verarbeitet. Dies ermöglicht auch dynamische Referenzfelder via E-Mail-Auswertung zu befüllen. [#5164]

Bug Fixes

[Bugfix] Fehlerhafte Links zu externen Icons und Datenleck – Defekte Verlinkungen zu externen Icons wurden korrigiert und ein damit verbundenes Datenleck geschlossen. [#5212]
[Bugfix] AgentTicketProcess und CustomerTicketProcess: Anzeige versteckter Felder beim initialen Laden der Seite – Ein Fehler wurde behoben, bei dem versteckte Felder beim erstmaligen Laden der Prozessmaske nicht korrekt eingeblendet wurden. [#5196]
[Bugfix] Leeway-Parameter wurde beim Dekodieren von JWT-Token nicht übergeben – Der Leeway-Parameter wird nun korrekt an die JWT-Token-Dekodierung weitergegeben, was Probleme bei der Zeittoleranz-Validierung von Tokens behebt. [#5211]
[Bugfix] DF Ticket-Referenz: CustomerUserID wird nun korrekt auf CustomerUserLogin für die Ticketsuche gemappt – Bei der Ticketsuche über dynamische Felder mit Ticket-Referenz wurde die CustomerUserID nicht korrekt auf den CustomerUserLogin abgebildet. Dieser Fehler wurde behoben. [#5300]
[Bugfix] DF CustomerUser-Referenz: Externes Quellattribut „E-Mail“ funktionierte nicht – Das Attribut „E-Mail“ als externe Quelle in dynamischen Feldern vom Typ CustomerUser-Referenz wird nun korrekt verarbeitet. [#5273]
[Bugfix] DF CustomerUser-Referenz: Implementierung von FieldValueValidate – Die Validierungsfunktion FieldValueValidate wurde für dynamische Felder vom Typ CustomerUser-Referenz implementiert, um eine korrekte Werteprüfung sicherzustellen. [#5277]
[Bugfix] QueueDefault konnte dazu führen, dass DynamicField-Werte nicht gespeichert wurden – Ein Fehler wurde behoben, bei dem die Verwendung von QueueDefault verhinderte, dass Werte in dynamischen Feldern korrekt persistiert wurden. [#4962]
[Bugfix] Per URL gesetzte Queue löste ACLs in CustomerTicketMessage nicht korrekt aus – Wenn eine Queue über einen URL-Parameter gesetzt wurde, wurden zugehörige ACLs im CustomerTicketMessage-Bereich nicht zuverlässig angewendet. Dieser Fehler wurde behoben. [#5237]
[Bugfix] Schnelldatum-Schaltflächen funktionierten auf dem Verantwortlichen-Bildschirm nicht – Die Schnelldatum-Buttons waren auf dem Bildschirm zur Zuweisung von Verantwortlichen nicht funktionsfähig. Der Fehler wurde behoben. [#5221]
[Bugfix] ExternalURLJump: Fragezeichen und Gleichheitszeichen in konfigurierten Links funktionierten nicht – Sonderzeichen wie ? und = in ExternalURLJump-Links wurden nicht korrekt verarbeitet. Dieser Fehler wurde behoben. [#5203]
[Bugfix] Behebung von UI-Problemen mit Labels in CustomerTicketProcess – Verschiedene Darstellungsfehler bei Beschriftungen im CustomerTicketProcess wurden korrigiert. [#4985]
[Bugfix] Löschen von DynamicField-Anhängen funktionierte im Customer-Interface nicht – Das Entfernen von Anhängen in dynamischen Feldern war im Customer-Interface nicht möglich. Der Fehler wurde behoben. [#5348]

Nächste Schritte

Update auf OTOBO 11.0.16

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Download Security Patch

OTOBO 11.0 Change Log

in umfassender Überblick über alle aktuellen und vergangenen Änderungen.

➞ See all changes

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Für unsere Support-Kunden: Einfach über das Portal melden oder kurz anrufen – wir sind für Sie da.

Sie arbeiten noch nicht mit uns? Vielleicht ist jetzt der perfekte Zeitpunkt. Gern unterstützen wir Sie beim nächsten Update.

Melden Sie sich – wir freuen uns auf Sie!

Kontakt

OTOBO 10.1.17

Pia Cebic — Tue, 21 Apr 2026 14:50:11 +0000

SECURITY ADVISORY

OTOBO 10.1.17 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

23. April 2026
Security Patch Release
MEDIUM
OTOBO 10.1

Security Fix

[Security] Aktualisierung von Compress::Raw::Zlib zur Behebung von CVE-2026-3381 in Docker-Umgebungen – Wir haben die Abhängigkeit Compress::Raw::Zlib aktualisiert, um eine Sicherheitslücke zu schließen, die Docker-basierte OTOBO-Installationen betreffen konnte. Nicht-Docker-Systeme sind in der Regel nicht betroffen. [#5269]
[Security] Aktualisierung von Mozilla::CA – Wir haben die optionale Abhängigkeit Mozilla::CA, die an einigen Stellen als Standard-Konfigration vorgeschlagen wird, auf die aktuelle Version aktualisiert, um die Zertifikatsbasis aktuell zu halten. [#5245]
[Security] CVE-2025-59490: Behebung von XSS-Sicherheitslücken – Wir haben Cross-Site-Scripting-Schwachstellen (XSS) geschlossen, über die Angreifer durch manipulierte Links schadhaften Code im Browser von Nutzern ausführen konnten. Allen Nutzern wird ein Update auf diese Version empfohlen.. [#5358, #5419]
[Security] CVE-2025-59393: Verbesserte Maskierung von Passwörtern im Support-Bundle-Generator – Wir haben sichergestellt, dass Passwörter und sensible Zugangsdaten beim Erstellen eines Support-Bundles zuverlässiger unkenntlich gemacht werden, um ein versehentliches Weitergeben von Zugangsdaten zu verhindern. [#5376]
[Security] Entfernung von Stack-Traces aus Frontend-Fehlermeldungen – Stack-Traces in Fehlermeldungen des Frontends werden nicht mehr an Nutzer ausgegeben, da sie interne Systeminformationen preisgeben und so potenziell als Angriffsfläche dienen konnten. [#5359]

Verbesserungen

[Enhancement] Anzeige von Informationen über den Perl DBI-Datenbanktreiber in den Support-Daten – Die Support-Daten enthalten nun detaillierte Informationen über den verwendeten Perl DBI-Datenbanktreiber, was die Fehlerdiagnose und den Support-Prozess erleichtert. [#5104]
[Enhancement] Bereitstellung der URL otobo-web/static zur Auslieferung statischer Dateien – Statische Dateien können nun über die dedizierte URL otobo-web/static ausgeliefert werden, was eine flexiblere und performantere Konfiguration der Webserver-Infrastruktur ermöglicht. [#5342]
[Enhancement] Neuer Konsolenbefehl Maint::Elasticsearch::TestConnection – Mit dem neuen Konsolenbefehl kann die Verbindung zu Elasticsearch direkt über die Kommandozeile getestet werden, was die Administration und Fehlersuche bei Elasticsearch-Integrationen vereinfacht. [#5340]

Bug Fixes

[Bugfix] Fehlerhafte Links zu externen Icons und Datenleck – Defekte Verlinkungen zu externen Icons wurden korrigiert und ein damit verbundenes Datenleck geschlossen. [#5212]
[Bugfix] Per URL gesetzte Queue löste ACLs in CustomerTicketMessage nicht korrekt aus – Wenn eine Queue über einen URL-Parameter gesetzt wurde, wurden zugehörige ACLs im CustomerTicketMessage-Bereich nicht zuverlässig angewendet. Dieser Fehler wurde behoben. [#5237]
[Bugfix] Name des Bearbeiters fehlte in der Historie einer Systemkonfigurationseinstellung – In der Änderungshistorie von Systemkonfigurationseinstellungen wurde der Name der Person, die die Änderung vorgenommen hat, nicht angezeigt. Dieser Fehler wurde behoben. [#5071]
[Bugfix] Elasticsearch-Index tmpattachments wurde nicht von OTOBO verwaltet – Der Elasticsearch-Index tmpattachmentswurde bislang nicht durch OTOBO verwaltet und konnte so zu Inkonsistenzen führen. Dies wurde korrigiert, sodass der Index nun vollständig im OTOBO-Verwaltungskreis liegt. [#4326]

Nächste Schritte

Update auf OTOBO 10.1.17

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Download Security Patch

OTOBO 10.1 Change Log

in umfassender Überblick über alle aktuellen und vergangenen Änderungen.

➞ See all changes

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Für unsere Support-Kunden: Einfach über das Portal melden oder kurz anrufen – wir sind für Sie da.

Sie arbeiten noch nicht mit uns? Vielleicht ist jetzt der perfekte Zeitpunkt. Gern unterstützen wir Sie beim nächsten Update.

Melden Sie sich – wir freuen uns auf Sie!

Kontakt

OTOBO 11.0.12

Pia Cebic — Thu, 25 Sep 2025 10:00:43 +0000

SECURITY ADVISORY

OTOBO 11.0.12 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

25. September 2025
Security Patch Release
MEDIUM
OTOBO 11.0

Security Fix

[Security | medium] Behebung einer möglichen Rechteausweitung über backup.pl
Wir haben eine potenzielle Sicherheitslücke geschlossen, die – nur auf Systemen, die so konfiguriert sind, dass backup.pl mit Root-Rechten von beliebigen Benutzern ausgeführt werden kann (z. B. durch Anpassungen in der sudoers-Datei) – eine Befehlsinjektion ermöglichte, mit der Standardnutzer auf dem OTOBO-Server beliebige Kommandos mit Root-Rechten ausführen konnten.
Standardsysteme sind nicht betroffen.
Dank an Diego Berger Tellaroli für den Hinweis! [#4619]

[Security | medium] Falsche Gruppenzuweisung bei LDAP-Sync mit Nested Group Search
Wir haben einen Fehler behoben, durch den Benutzern zu viele Gruppen zugeordnet wurden, wenn LDAP-Sync mit aktivierter NestedGroupSearch-Option in der Config.pm verwendet wurde.
Ursache war ein Bug, durch den verschachtelte Gruppen automatisch auch an Benutzer in der übergeordneten Gruppe vererbt wurden.
Betroffen sind ausschließlich Installationen, die Agenten via LDAP authentifizieren, das LDAP-Sync-Modul nutzen und NestedGroupSearch aktiviert haben.
Standardsysteme ohne diese Konfiguration sind nicht betroffen.
Dank an unseren Partner FREICON für den Hinweis! [#4695]

Verbesserungen

[Enhancement] Detailliertere Datenbank-Informationen im Support Data Collector
Der Support Data Collector liefert nun erweiterte Informationen zur verwendeten Datenbank. Das erleichtert die Analyse von Systemumgebungen im Supportfall. [#4681]

Changes

[Change] Angepasste Verlinkung bei Referenz-Dynamikfeldern
Die Zielseiten der Referenz-Dynamikfelder für CustomerUser und CustomerCompany wurden geändert: Statt auf die Administrationsseiten führen die Links nun direkt zu den entsprechenden Informations-Centern. [#4564]

Bug Fixes

[Bugfix] Mobile Ansicht: Breitenanpassungen für CKEditor und Dateianhänge in den Agent-Ticketmasken wurden korrigiert. [#4607]
[Bugfix] Dynamische Felder mit Grids: Wir haben einen Fehler behoben, der zu einem Internal Server Error in AgentTicketSearch und Ticket-Übersichten führen konnte. [#4572]
[Bugfix] Webservices: MultiSelect-Felder funktionieren nun korrekt. [#4668]
[Bugfix] TicketMenu in AgentTicketZoom: Die Konfiguration der Reihenfolge von Menüeinträgen innerhalb eines Clusters wurde repariert. [#4444]
[Bugfix] Systemkonfiguration: Das Speichern einer Einstellung als Favorit ist wieder möglich. [#4130]
[Bugfix] TicketACL::Autoselect: Dynamische Felder, die automatisch ausgewählt wurden, werden nun korrekt verborgen – auch wenn sie Teil eines Sets oder Multivalue-Feldes sind. [#4485]
[Bugfix] Artikel-Tabelle: Wenn die Erstellung eines Artikels fehlschlägt, wird die Tabelle nun sauber aufgeräumt. [#4596]
[Bugfix] Referenzfelder: Das Erstellen von Standard-Links funktioniert jetzt auch bei MultiValue-Feldern. [#4590]
[Bugfix] Übersetzungen: Services und SLAs werden an weiteren Stellen korrekt übersetzt angezeigt. [#4580]
[Bugfix] Transition Actions: Das Übergeben von DynamicField_Name_Data funktioniert wieder wie vorgesehen. [#4577]
[Bugfix] AgentTicketArticleEdit hat nicht alle Artikeleinschränkungen korrekt durchgesetzt. (Ein Agent, der Eigentümer eines Tickets war, konnte fälschlicherweise z. B. auch E-Mail-Artikel bearbeiten.) [#4722]
[Bugfix] Validierung von mehrwertigen Pflichtfeldern vereinheitlicht: Die Backend-Validierung wurde an die Frontend-Validierung angepasst. Zuvor konnte ein Pflichtfeld wie ['A','','C']gespeichert werden, da es technisch als „Wert vorhanden“ galt – auch wenn ein Index leer blieb. [#4515]
[Bugfix] Darstellung von Code-Blöcken in Monospace: Code-Blöcke wurden in der HTML-Ansicht von Zoom-Masken und im CKEditor 5 nicht in Monospace angezeigt. [#4405]

Nächste Schritte

Update auf OTOBO 11.0.12

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Download Security Patch

OTOBO 11.0 Change Log

in umfassender Überblick über alle aktuellen und vergangenen Änderungen.

➞ See all changes

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Für unsere Support-Kunden: Einfach über das Portal melden oder kurz anrufen – wir sind für Sie da.

Sie arbeiten noch nicht mit uns? Vielleicht ist jetzt der perfekte Zeitpunkt. Gern unterstützen wir Sie beim nächsten Update.

Melden Sie sich – wir freuen uns auf Sie!

Kontakt

OTOBO 10.1.15

Pia Cebic — Thu, 25 Sep 2025 09:57:39 +0000

SECURITY ADVISORY

OTOBO 10.1.15 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

25. September 2025
Security Patch Release
MEDIUM
OTOBO 10.1

Security Fix

[Security | medium] Behebung einer möglichen Rechteausweitung über backup.plWir haben eine potenzielle Sicherheitslücke geschlossen, die – nur auf Systemen, die so konfiguriert waren, dass backup.pl mit Root-Rechten von beliebigen Benutzern ausgeführt werden konnte (z. B. durch Anpassungen in der sudoers-Datei) – eine Befehlsinjektion ermöglichte, mit der Standardnutzer auf dem OTOBO-Server beliebige Kommandos mit Root-Rechten ausführen konnten.
Standardsysteme sind nicht betroffen.
Dank an Diego Berger Tellaroli für den Hinweis! [#4619]

[Security | medium] Falsche Gruppenzuweisung bei LDAP-Sync mit Nested Group Search
Wir haben einen Fehler behoben, bei dem Benutzern zu viele Gruppen zugeordnet wurden, wenn LDAP-Sync mit aktivierter NestedGroupSearch-Option in der Config.pm verwendet wurde.
Ursache war ein Bug, durch den verschachtelte Gruppen immer automatisch auch an Benutzer vererbt wurden, die bereits in der übergeordneten Gruppe waren.
Betroffen sind nur Installationen, die Agenten via LDAP authentifizieren, das LDAP-Sync-Modul nutzen und NestedGroupSearch aktiviert haben.
Standardsysteme ohne diese Konfiguration sind nicht betroffen.
Dank an unseren Partner FREICON für den Hinweis! [#4695]

Changes

[Change] Docker: Aktualisierung des Perl-Basis-Images auf 5.38-bookworm. [#4512]

Bug Fixes

[Bugfix] Systemkonfiguration: Fehler behoben, durch den das Speichern einer Einstellung als Favorit nicht funktionierte. [#4130]
[Bugfix] AgentTicketActionCommon: Ein Fehler wurde behoben, bei dem beim Speichern die aktuellen Parameter beim Typ-Update nicht berücksichtigt wurden. [#4359]
[Bugfix] Artikeltabelle: Wenn die Erstellung eines Artikels fehlschlägt, wird die Tabelle nun korrekt aufgeräumt. [#4596]
[Bugfix] OpenID Connect: Falsches Login-Formular sowie irreführende Fehlermeldungen nach einem Browser-Neustart wurden korrigiert. [#4393]
[Bugfix] DynamicField Webservice: Fehler bei der Verarbeitung von DynamicField-Webservices wurde behoben. [#3446]

Nächste Schritte

Update zu OTOBO 10.1.15

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Security Patch herunterladen

OTOBO 10.1 Change Log

Hier finden Sie eine vollständige Übersicht über alle aktuellen und früheren Änderungen.

➞ Alle Changes im Detail

Security Patch? System Update?

Wir lassen Sie nicht allein.

Wenn Sie bereits mit uns zusammenarbeiten: Melden Sie sich einfach über unser Portal oder rufen Sie durch – wir kümmern uns.

Und wenn wir uns noch nicht kennen: Vielleicht ist jetzt der perfekte Zeitpunkt. Wir unterstützen Sie gern bei Ihrem nächsten Update. Einfach melden – wir freuen uns!

Kontakt

OTOBO 10.0.26

Pia Cebic — Thu, 25 Sep 2025 09:52:52 +0000

SECURITY ADVISORY

OTOBO 10.0.26 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

25. September 2025
Security Patch Release
MEDIUM
OTOBO 10.0

Security Fix

[Security | high] Behebung einer möglichen Rechteausweitung über backup.plWir haben eine potenzielle Sicherheitslücke geschlossen, die – nur auf Systemen, die so konfiguriert waren, dass backup.pl mit Root-Rechten von beliebigen Benutzern ausgeführt werden konnte (z. B. durch Anpassungen in der sudoers-Datei) – eine Befehlsinjektion ermöglichte, mit der Standardnutzer auf dem OTOBO-Server beliebige Kommandos mit Root-Rechten ausführen konnten.
Standardsysteme sind nicht betroffen.
Dank an Diego Berger Tellaroli für den Hinweis! [#4619]

Changes

[Changes] Docker: Aktualisierung des Perl-Basis-Images auf 5.38-bookworm. [#4512]

Bugfixes

[Bugfix] Systemkonfiguration: Ein Fehler wurde behoben, durch den das Speichern einer Einstellung als Favorit nicht funktionierte. [#4130]
[Bugfix] AgentTicketActionCommon: Ein Fehler wurde behoben, bei dem beim Speichern die aktuellen Parameter beim Typ-Update nicht berücksichtigt wurden. [#4359]

Nächste Schritte

Update zu OTOBO 10.0.26

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Security Patch herunterladen

OTOBO 10.0 Change Log

Hier finden Sie eine vollständige Übersicht über alle aktuellen und früheren Änderungen.

➞ Alle Changes im Detail

🔔 Reminder: Supportende OTOBO 10.0

Wir möchten Sie noch einmal daran erinnern, dass der Support für OTOBO 10.0 zum Jahresende ausläuft. Damit Sie weiterhin sicher und effizient arbeiten können, empfehlen wir den Umstieg auf eine aktuelle Version.

Unser Team begleitet Sie dabei gerne – von der Planung bis zur Umsetzung.

Bei Fragen sind wir wie immer für Sie da.

Kontakt

OTOBO 11.0.9

Pia Cebic — Tue, 06 May 2025 16:09:26 +0000

SECURITY ADVISORY

OTOBO 11.0.9 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

06. Mai 2025
Security Patch Release
HIGH
OTOBO 11.0

Security Fix

[Security | high] Schwachstelle zur Rechteausweitung behoben (CVE-2025-43926)
Dank eines Hinweises von Tim Püttmanns (maxence) konnte eine potenzielle Sicherheitslücke geschlossen werden. Das Update verbessert die Sicherheit Ihrer OTOBO-Umgebung und schützt gezielt vor unautorisierten Zugriffen. Bitte stellen Sie nach dem Core-Update sicher, dass alle betroffenen Add-ons über die Paketverwaltung aktualisiert werden.

Verbesserungen

[Enhancement] In der Ticketsuche können jetzt auch gesetzte Unterfelder des dynamischen Felds Set durchsucht werden – das erleichtert das gezielte Auffinden spezifischer Informationen. [#4261]
[Enhancement] Über die neue Option Ticket::Frontend::AsteriskExplanation lässt sich ein Hinweistext oberhalb der Formulare anzeigen: „Felder, die mit einem * markiert sind, sind Pflichtfelder.“ – das sorgt für mehr Klarheit bei der Dateneingabe. [#3954]

Bug Fixes

[Bugfix] Ein Fehler wurde behoben, bei dem im Kunden-Ticketformular keine Tickets erstellt werden konnten, wenn ein Datumsfeld (DateTime) ausgeblendet war und keine vergangenen Daten erlaubt waren. [#4238]
[Bugfix] Die Titel dynamischer Felder wurden beim Überfahren mit der Maus nicht übersetzt – diese werden nun wieder korrekt angezeigt. [#4196]
[Bugfix] Ein Fehler wurde behoben, bei dem das dynamische Feld TicketReference Ticketnummern nicht korrekt gefunden hat. [#4303]
[Bugfix] Ein weiterer Fehler wurde korrigiert: Im Multiselect-Modus kam es beim Leeren des dynamischen Feldes Database zu Fehlermeldungen. [#4301]

Nächste Schritte

Update zu OTOBO 11.0.9

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Security Patch herunterladen

OTOBO 11.0 Change Log

Hier finden Sie eine Übersicht der aktuellen und bisherigen Changes der Version 11.0.

➞ Alle Changes im Detail

Security Patch? System Update?

Wir lassen Sie nicht allein.

Wenn Sie bereits mit uns zusammenarbeiten: Melden Sie sich einfach über unser Portal oder rufen Sie durch – wir kümmern uns.

Und wenn wir uns noch nicht kennen: Vielleicht ist jetzt der perfekte Zeitpunkt. Wir unterstützen Sie gern bei Ihrem nächsten Update. Einfach melden – wir freuen uns!

Kontakt

OTOBO 10.1.13

Pia Cebic — Tue, 06 May 2025 16:08:54 +0000

SECURITY ADVISORY

OTOBO 10.1.13 – Security Patch

VERÖFFENTLICHUNGSDATUM:
RELEASE TYPE:
KRITIKALITÄT:
BETROFFENE VERSIONEN:

06. Mai 2025
Security Patch Release
HIGH
OTOBO 10.1

Security Fix

[Security | high] Schwachstelle zur Rechteausweitung behoben (CVE-2025-43926)
Dank eines Hinweises von Tim Püttmanns (maxence) konnte eine potenzielle Sicherheitslücke geschlossen werden. Das Update verbessert die Sicherheit Ihrer OTOBO-Umgebung und schützt gezielt vor unautorisierten Zugriffen. Bitte stellen Sie nach dem Core-Update sicher, dass alle betroffenen Add-ons über die Paketverwaltung aktualisiert werden.

Bug Fixes

[Bugfix] Ein Fehler wurde behoben, bei dem im Kunden-Ticketformular keine Tickets erstellt werden konnten, wenn ein Datumsfeld (DateTime) ausgeblendet war und keine vergangenen Daten erlaubt waren. [#4238]
[Bugfix] Die Titel dynamischer Felder wurden beim Überfahren mit der Maus nicht übersetzt – diese werden nun wieder korrekt angezeigt.[#4196]

Nächste Schritte

Update zu OTOBO 10.1.13

Wir empfehlen den Fix der Schwachstelle durchzuführen. Bitte aktualisieren Sie Ihr System.

➞ Security Patch herunterladen

OTOBO 10.1 Change Log

Hier finden Sie eine vollständige Übersicht über alle aktuellen und früheren Änderungen.

➞ Alle Changes im Detail

Security Patch? System Update?

Wir lassen Sie nicht allein.

Wenn Sie bereits mit uns zusammenarbeiten: Melden Sie sich einfach über unser Portal oder rufen Sie durch – wir kümmern uns.

Und wenn wir uns noch nicht kennen: Vielleicht ist jetzt der perfekte Zeitpunkt. Wir unterstützen Sie gern bei Ihrem nächsten Update. Einfach melden – wir freuen uns!

Kontakt

Security Patch – OTOBO

OTOBO 11.1.0 Beta2

OTOBO 11.1.0 (Beta2) – Security Patch

Security Fixes

Changes

Bugfixes

Verbesserungen

Nächste Schritte

Update auf OTOBO 11.1.0 Beta2

OTOBO 11.1 Change Log

Security Patch? System-Update?Das müssen Sie nicht allein erledigen.

OTOBO 11.0.17

OTOBO 11.0.17 – Security Patch

Security Fixes

Changes

Bugfixes

Verbesserungen

Nächste Schritte

Update auf OTOBO 11.0.17

OTOBO 11.0 Change Log

Security Patch? System-Update?Das müssen Sie nicht allein erledigen.

OTOBO 10.1.18

OTOBO 10.1.18 – Security Patch

Security Fixes

Changes

Bugfixes

Nächste Schritte

Update auf OTOBO 10.1.18

OTOBO 10.1 Change Log

Security Patch? System-Update?Das müssen Sie nicht allein erledigen.

OTOBO 11.0.16

OTOBO 11.0.16 – Security Patch

Security Fixes

Verbesserungen

Changes

Bug Fixes

Nächste Schritte

Update auf OTOBO 11.0.16

OTOBO 11.0 Change Log

Security Patch? System-Update?Das müssen Sie nicht allein erledigen.

OTOBO 10.1.17

OTOBO 10.1.17 – Security Patch

Security Fix

Verbesserungen

Bug Fixes

Nächste Schritte

Update auf OTOBO 10.1.17

OTOBO 10.1 Change Log

Security Patch? System-Update?Das müssen Sie nicht allein erledigen.

OTOBO 11.0.12

OTOBO 11.0.12 – Security Patch

Security Fix

Verbesserungen

Changes

Bug Fixes

Nächste Schritte

Update auf OTOBO 11.0.12

OTOBO 11.0 Change Log

Security Patch? System-Update?Das müssen Sie nicht allein erledigen.

OTOBO 10.1.15

OTOBO 10.1.15 – Security Patch

Security Fix

Changes

Bug Fixes

Nächste Schritte

Update zu OTOBO 10.1.15

OTOBO 10.1 Change Log

Security Patch? System Update?

Wir lassen Sie nicht allein.

OTOBO 10.0.26

OTOBO 10.0.26 – Security Patch

Security Fix

Changes

Bugfixes

Nächste Schritte

Update zu OTOBO 10.0.26

OTOBO 10.0 Change Log

🔔 Reminder: Supportende OTOBO 10.0

OTOBO 11.0.9

OTOBO 11.0.9 – Security Patch

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.

Security Patch? System-Update?
Das müssen Sie nicht allein erledigen.