CVE-2026-47156
KrytyczneCVSS 9.3Streszczenie
MantisBT w wersjach 2.28.3 i wcześniejszych zawiera krytyczną podatność obejścia uwierzytelniania w funkcji mci_check_login() w API SOAP. Każdy użytkownik znający ważny cookie_string może uwierzytelnić się jako dowolny inny użytkownik (znając jego nazwę), w tym administrator, bez znajomości hasła ofiary. Podatność jest wykorzystywalna bez wcześniejszego dostępu w domyślnych instalacjach, ponieważ samorejestracja jest domyślnie włączona.
Ocena ryzyka
Atakujący może przejąć konto administratora i uzyskać pełną kontrolę nad systemem śledzenia błędów, co może prowadzić do ujawnienia poufnych informacji i naruszenia integralności danych.
Rekomendacja
Należy natychmiast zaktualizować MantisBT do wersji 2.28.4 lub nowszej, która zawiera poprawkę. Jeśli aktualizacja nie jest możliwa, należy wyłączyć samorejestrację i ograniczyć dostęp do API SOAP.
Inne podatności w MantisBT
Zobacz wszystkie- CVE-2014-9624Wysokie
Podatność na obejście CAPTCHA w MantisBT przed wersją 1.2.19.
- CVE-2017-7615Wysokie
MantisBT w wersjach do 2.3.0 umożliwia nieautoryzowane zresetowanie hasła oraz dostęp do panelu administracyjnego bez uwierzytelnienia poprzez pustą wartość confirm_hash w verify.php.
- CVE-2014-9572Wysokie
MantisBT w wersjach przed 1.2.19 oraz 1.3.x przed 1.3.0-beta.2 nie ogranicza prawidłowo dostępu do pliku /*/install.php, co umożliwia zdalnym atakującym uzyskanie danych uwierzytelniających do bazy danych poprzez parametr install z wartością 4.
- CVE-2014-9280Wysokie
Funkcja current_user_get_bug_filter w pliku core/current_user_api.php w MantisBT przed wersją 1.2.18 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr filter.
- CVE-2014-9089Wysokie
W MantisBT przed wersją 1.2.18 występują wielokrotne podatności na wstrzykiwanie SQL w pliku view_all_bug_page.php, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry sort lub dir w view_all_set.php.
- CVE-2014-8554Wysokie
W funkcji mc_project_get_attachments w pliku api/soap/mc_project_api.php w MantisBT przed wersją 1.2.18 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr project_id.
- CVE-2014-1609Wysokie
W MantisBT przed wersją 1.2.16 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone parametry w różnych funkcjach API.
- CVE-2026-44657Wysokie
Mantis Bug Tracker (MantisBT) przed wersją 2.28.2 zawiera podatność umożliwiającą wykonanie kodu przez atakującego. Poprzez użycie parametru show_inline=1 oraz ważnego tokena CSRF file_show_inline_token na stronie file_download.php, atakujący może przesłać spreparowany załącznik XHTML odwołujący się do załącznika JavaScript.
- CVE-2026-44655Wysokie
W Mantis Bug Tracker (MantisBT) w wersjach od 1.3.0 do 2.28.1, niesprawdzona nazwa projektu umożliwia atakującemu z uprawnieniami menedżera lub administratora wstrzyknięcie kodu HTML na stronie administracyjnej przenoszenia załączników. Luka została naprawiona w wersji 2.28.2.
- CVE-2026-40607Wysokie
MantisBT w wersjach 2.11.0 do 2.28.1 zawiera podatność na trwały XSS spowodowaną nieprawidłowym escapowaniem właściciela zapisanego filtra. Atakujący może wstrzyknąć dowolny kod HTML, jeśli włączona jest opcja wyświetlania prawdziwych nazw użytkowników.
Oryginalny opis (angielski, źródło NVD)
MantisBT is an open source bug tracker. Versions 2.28.3 and earlier contain a critical authentication bypass in the SOAP API's mci_check_login() function. Any user knowing any valid cookie_string can authenticate as any other user (knowing their username), including the administrator, without knowing the target's password. The vulnerability is exploitable with zero prior access on default MantisBT installations because self-registration is enabled by default ($g_allow_signup = ON). A self-registered user can use their own cookie_string (readable from their browser's MANTIS_STRING_COOKIE cookie after login) to impersonate the administrator via the SOAP API. The REST API is NOT affected. The REST API's AuthMiddleware derives the username server-side from the API token or session cookie, so the username cannot be spoofed. The Web UI is NOT affected. The Web UI authenticates via PHP session cookies (PHPSESSID) and validates the MANTIS_STRING_COOKIE against the logged-in user through auth_is_cookie_valid(). The username is derived server-side from the cookie, not supplied by the client. Version 2.28.4 contains a patch. No known workarounds are available.