OTOBO Security Patch 10.0.19

• XSS Schwachstelle: Ein Angreifer, der als Benutzer mit Rechten zum Anlegen und Ändern von Kundendaten eingeloggt ist, könnte das CustomerID-Feld manipulieren, um JavaScript-Code auszuführen, der unmittelbar nach dem Speichern der Daten ausgeführt wird. Das Problem tritt nur auf, wenn die Konfiguration für AdminCustomerUser::UseAutoComplete zuvor geändert wurde.
• Header Injection: Behebung einer Schwachstelle, die – in Systemen mit aktivierten Webservices – eine Header Injection über diese Webservices ermöglichte.

Vielen Dank an Tim Püttmanns (maxence), der uns auf die Schwachstellen aufmerksam gemacht hat.