在要求追蹤器 (一種問題追蹤系統) 中發現數個弱點。

- CVE-2011-1685 如果啟用外部自訂欄位功能，要求追蹤器允許經驗證的使用者以 Web 伺服器的權限執行任意程式碼，其可能由一個跨網站要求偽造攻擊觸發。
 (外部自訂欄位預設為停用。)

- CVE-2011-1686 多個 SQL 插入攻擊允許經驗證的使用者以未經授權的方式從資料庫取得資料。

- CVE-2011-1687 資訊洩漏允許經驗證之有權限的使用者透過搜尋介面取得敏感資訊，例如加密密碼。

- CVE-2011-1688 當在特定 Web 伺服器 (例如 Lighttpd) 下執行時，要求追蹤器容易受到目錄遊走攻擊，進而允許攻擊者讀取 Web 伺服器可存取的任何檔案。在 Apache 或 Nginx 下執行的要求追蹤器執行個體不會受到影響。

- CVE-2011-1689 要求追蹤器包含多個跨網站指令碼弱點。

- CVE-2011-1690 要求追蹤器可讓攻擊者將合法使用者提供的驗證認證重新導向至第三方伺服器。

偵測

Debian DSA-2220-1：request-tracker3.6、request-tracker3.8 - 數個弱點

medium Nessus Plugin ID 53495

找不到依附元件