Mantisbt · Mantisbt · CVE-2022-33910
**Nome do software vulnerável e versões afetadas**
Versões do MantisBT anteriores à 2.25.5
**Descrição**
A vulnerabilidade permite que invasores remotos anexem documentos SVG especialmente criados a relatórios de problemas ou notas de bug. Quando um usuário ou administrador clica no anexo, o arquivo file download.php abre o documento SVG em uma guia do navegador, em vez de baixá-lo como um arquivo, fazendo com que o código JavaScript seja executado.
**Recomendações**
Para versões anteriores à 2.25.5, atualize para a versão 2.25.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint file download.php para minimizar o risco de exploração. Evite abrir anexos de fontes não confiáveis até que o problema seja resolvido.