CVE-2026-34579
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych jest podatny na obejście autoryzacji poprzez funkcję monitorowania prywatnych zgłoszeń. Użytkownik z dostępem na poziomie projektu może dodać się jako monitor prywatnego zgłoszenia, do którego nie ma dostępu, wysyłając spreparowane żądanie POST do bug_monitor_add.php. Mimo wyświetlenia błędu Access Denied, aplikacja akceptuje żądanie i tworzy relację monitora, co skutkuje otrzymywaniem powiadomień e-mail o aktualizacjach, ujawniając metadane i treść prywatnego zgłoszenia. Problem został naprawiony w wersji 2.28.2.
Ocena ryzyka
Ryzyko polega na możliwości uzyskania przez użytkownika z dostępem projektowym powiadomień o zmianach w prywatnych zgłoszeniach, co prowadzi do ujawnienia poufnych informacji.
Rekomendacja
Zaleca się aktualizację MantisBT do wersji 2.28.2 lub nowszej.
Inne podatności w MantisBT
Zobacz wszystkie- CVE-2014-9624Wysokie
Podatność na obejście CAPTCHA w MantisBT przed wersją 1.2.19.
- CVE-2017-7615Wysokie
MantisBT w wersjach do 2.3.0 umożliwia nieautoryzowane zresetowanie hasła oraz dostęp do panelu administracyjnego bez uwierzytelnienia poprzez pustą wartość confirm_hash w verify.php.
- CVE-2014-9572Wysokie
MantisBT w wersjach przed 1.2.19 oraz 1.3.x przed 1.3.0-beta.2 nie ogranicza prawidłowo dostępu do pliku /*/install.php, co umożliwia zdalnym atakującym uzyskanie danych uwierzytelniających do bazy danych poprzez parametr install z wartością 4.
- CVE-2014-9280Wysokie
Funkcja current_user_get_bug_filter w pliku core/current_user_api.php w MantisBT przed wersją 1.2.18 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr filter.
- CVE-2014-9089Wysokie
W MantisBT przed wersją 1.2.18 występują wielokrotne podatności na wstrzykiwanie SQL w pliku view_all_bug_page.php, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry sort lub dir w view_all_set.php.
- CVE-2014-8554Wysokie
W funkcji mc_project_get_attachments w pliku api/soap/mc_project_api.php w MantisBT przed wersją 1.2.18 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr project_id.
- CVE-2014-1609Wysokie
W MantisBT przed wersją 1.2.16 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone parametry w różnych funkcjach API.
- CVE-2026-47156Krytyczne
MantisBT w wersjach 2.28.3 i wcześniejszych zawiera krytyczną podatność obejścia uwierzytelniania w funkcji mci_check_login() w API SOAP. Każdy użytkownik znający ważny cookie_string może uwierzytelnić się jako dowolny inny użytkownik (znając jego nazwę), w tym administrator, bez znajomości hasła ofiary. Podatność jest wykorzystywalna bez wcześniejszego dostępu w domyślnych instalacjach, ponieważ samorejestracja jest domyślnie włączona.
- CVE-2026-44657Wysokie
Mantis Bug Tracker (MantisBT) przed wersją 2.28.2 zawiera podatność umożliwiającą wykonanie kodu przez atakującego. Poprzez użycie parametru show_inline=1 oraz ważnego tokena CSRF file_show_inline_token na stronie file_download.php, atakujący może przesłać spreparowany załącznik XHTML odwołujący się do załącznika JavaScript.
- CVE-2026-44655Wysokie
W Mantis Bug Tracker (MantisBT) w wersjach od 1.3.0 do 2.28.1, niesprawdzona nazwa projektu umożliwia atakującemu z uprawnieniami menedżera lub administratora wstrzyknięcie kodu HTML na stronie administracyjnej przenoszenia załączników. Luka została naprawiona w wersji 2.28.2.
Oryginalny opis (angielski, źródło NVD)
Mantis Bug Tracker (MantisBT) is an open source issue tracker. Versions 2.28.1 and prior are vulnerable to Authorization Bypass through the private issue monitoring feature . Using a crafted POST request to bug_monitor_add.php, a user with project-level access can add themselves as a monitor for a private issue they do not have access to. Despite displaying an Access Denied error, the application accepts the request and creates a monitor relationship for the private issue. Direct access to the private issue remains blocked, but the user will receive email notifications for updates, leading to disclosure of the private issue's metadata and content. This issue has been fixed in version 2.28.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS