PT-2020-20404 · Mantisbt · Mantisbt Source Integration Plugin

Dregado · Publicado 2020-02-13 · Atualizado 2020-02-19 · CVE-2020-8981

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do plugin MantisBT Source Integration anteriores à 1.6.2

Versões 2.x do plugin MantisBT Source Integration anteriores à 2.3.1

Descrição

Foi encontrada uma vulnerabilidade de cross-site scripting (XSS), permitindo a execução de código arbitrário por meio de um nome do repositório na página repo delete.php (Excluir Repositório), desde que as configurações da Política de Segurança de Conteúdo (CSP) permitam isso.

Recomendações

Para versões anteriores à 1.6.2, atualize para a versão 1.6.2 ou posterior.

Para versões 2.x anteriores à 2.3.1, atualize para a versão 2.3.1 ou posterior.

Como solução temporária, considere restringir o acesso à página repo delete.php até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-8981

Produtos afetados

Mantisbt Source Integration Plugin

Referências · 5

• https://github.com/mantisbt-plugins/source-integration/issues/338 · Nota
• https://github.com/mantisbt-plugins/source-integration/commit/270675c964c675829fe010f9f0830521dc0835f0 · Correção
• https://t.me/cvenotify/1014 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-8981 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-8981 · Aviso do Fabricante