PT-2021-11802 · Mantisbt · Mantisbt

Publicado 2021-02-22 · Atualizado 2022-05-24 · CVE-2020-35571

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do MantisBT até a 2.24.3

Descrição:

Foi identificada uma falha em que o nome do campo personalizado na chamada helper ensure confirmed no arquivo manage custom field update.php não é sanitizado. Isso pode causar problemas dependendo das configurações da Política de Segurança de Conteúdo (CSP).

Recomendações:

Para as versões do MantisBT até a 2.24.3, certifique-se de que os nomes dos campos personalizados sejam devidamente sanitizados na chamada helper ensure confirmed para evitar possíveis problemas.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-35571

GHSA-CVRM-CR3M-QJ92

Produtos afetados

Mantisbt

Referências · 7

• https://github.com/mantisbt/mantisbt · Nota
• https://github.com/mantisbt/mantisbt/commit/100c3d58c3f6f12b7a6cf97fba473ede521f20db · Nota
• https://mantisbt.org/bugs/view.php?id=27768 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-35571 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-35571 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-cvrm-cr3m-qj92 · Aviso do Fabricante
• https://t.me/cvenotify/10228 · Publicação no Telegram