Podatności MantisBT

Podatność na obejście CAPTCHA w MantisBT przed wersją 1.2.19.

MantisBT w wersjach do 2.3.0 umożliwia nieautoryzowane zresetowanie hasła oraz dostęp do panelu administracyjnego bez uwierzytelnienia poprzez pustą wartość confirm_hash w verify.php.

MantisBT w wersjach przed 1.2.19 oraz 1.3.x przed 1.3.0-beta.2 nie ogranicza prawidłowo dostępu do pliku /*/install.php, co umożliwia zdalnym atakującym uzyskanie danych uwierzytelniających do bazy danych poprzez parametr install z wartością 4.

Funkcja current_user_get_bug_filter w pliku core/current_user_api.php w MantisBT przed wersją 1.2.18 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr filter.

W MantisBT przed wersją 1.2.18 występują wielokrotne podatności na wstrzykiwanie SQL w pliku view_all_bug_page.php, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry sort lub dir w view_all_set.php.

W funkcji mc_project_get_attachments w pliku api/soap/mc_project_api.php w MantisBT przed wersją 1.2.18 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr project_id.

W MantisBT przed wersją 1.2.16 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone parametry w różnych funkcjach API.

MantisBT w wersjach 2.28.3 i wcześniejszych zawiera krytyczną podatność obejścia uwierzytelniania w funkcji mci_check_login() w API SOAP. Każdy użytkownik znający ważny cookie_string może uwierzytelnić się jako dowolny inny użytkownik (znając jego nazwę), w tym administrator, bez znajomości hasła ofiary. Podatność jest wykorzystywalna bez wcześniejszego dostępu w domyślnych instalacjach, ponieważ samorejestracja jest domyślnie włączona.

Mantis Bug Tracker (MantisBT) przed wersją 2.28.2 zawiera podatność umożliwiającą wykonanie kodu przez atakującego. Poprzez użycie parametru show_inline=1 oraz ważnego tokena CSRF file_show_inline_token na stronie file_download.php, atakujący może przesłać spreparowany załącznik XHTML odwołujący się do załącznika JavaScript.

W Mantis Bug Tracker (MantisBT) w wersjach od 1.3.0 do 2.28.1, niesprawdzona nazwa projektu umożliwia atakującemu z uprawnieniami menedżera lub administratora wstrzyknięcie kodu HTML na stronie administracyjnej przenoszenia załączników. Luka została naprawiona w wersji 2.28.2.

MantisBT w wersjach 2.11.0 do 2.28.1 zawiera podatność na trwały XSS spowodowaną nieprawidłowym escapowaniem właściciela zapisanego filtra. Atakujący może wstrzyknąć dowolny kod HTML, jeśli włączona jest opcja wyświetlania prawdziwych nazw użytkowników.

Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i starszych ma podatność polegającą na nieprawidłowym escapowaniu strony przekierowania z nagłówka Referer, co umożliwia wstrzyknięcie HTML. W określonych konfiguracjach serwera może to prowadzić do zatrucia pamięci podręcznej i ataku XSS.

Podatność w Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i niższych. Atakujący może ominąć politykę bezpieczeństwa treści (CSP) dla skryptów, przesyłając spreparowany załącznik, który po pobraniu przez file_download.php jest interpretowany jako JavaScript, co umożliwia wykonanie skryptu.

Mantis Bug Tracker (MantisBT) w wersjach 2.11.0 do 2.28.1 pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie dowolnego HTML poprzez zmianę czcionki w profilu. Atak XSS odbija się na każdej stronie MantisBT.

Mantis Bug Tracker (MantisBT) do wersji 2.28.1 zawiera podatność na wstrzykiwanie HTML i JavaScript w polu niestandardowym typu textarea na stronie aktualizacji zgłoszenia. Uwierzytelniony atakujący z niskimi uprawnieniami może wstrzyknąć kod, który wykona się w przeglądarce administratora, prowadząc do kradzieży sesji i przejęcia konta.

Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych pozwala autorowi notatki na dostęp do strony rewizji notatki po utracie dostępu do nadrzędnego prywatnego zgłoszenia. Luka została naprawiona w wersji 2.28.2.

Mantis Bug Tracker (MantisBT) w wersjach do 2.28.1 umożliwia uwierzytelnionemu użytkownikowi przesyłanie załączników do prywatnych zgłoszeń, do których nie ma dostępu.

Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych umożliwia użytkownikowi wyświetlanie i pobieranie własnych załączników z zgłoszenia utworzonego przez innego użytkownika, nawet po tym, jak zgłoszenie stało się prywatne, co omija cofnięcie dostępu do odczytu. Ujawnienie poufności jest minimalne, ponieważ dostępne są tylko załączniki przesłane przez samego użytkownika. Problem został naprawiony w wersji 2.82.2.

Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych jest podatny na obejście autoryzacji poprzez funkcję monitorowania prywatnych zgłoszeń. Użytkownik z dostępem na poziomie projektu może dodać się jako monitor prywatnego zgłoszenia, do którego nie ma dostępu, wysyłając spreparowane żądanie POST do bug_monitor_add.php. Mimo wyświetlenia błędu Access Denied, aplikacja akceptuje żądanie i tworzy relację monitora, co skutkuje otrzymywaniem powiadomień e-mail o aktualizacjach, ujawniając metadane i treść prywatnego zgłoszenia. Problem został naprawiony w wersji 2.28.2.

W Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych stwierdzono podatność na eskalację uprawnień. Użytkownicy z poziomem dostępu manage_project_threshold (domyślnie manager) mogą przyznać sobie lub innym użytkownikom dostęp administratora projektu w dowolnym projekcie, w którym mają uprawnienia managera. Podatność została naprawiona w wersji 2.28.2.

Mantis Bug Tracker (MantisBT) w wersjach 2.28.0 i 2.28.1 pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na utworzenie globalnego profilu poprzez manipulację parametrem user_id, mimo braku wymaganych uprawnień.