PT-2026-39899 · Git+2 · Mantisbt+1

Publicado 2026-05-11 · Atualizado 2026-05-28 · CVE-2026-44655

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Mantis Bug Tracker (MantisBT) versões 1.3.0 a 2.28.1

Description Existe um problema onde um Nome de Projeto não escapado permite que um invasor com níveis de acesso de gerente ou administrador injete HTML na página de administração Move Attachments. Isso leva ao Cross-site scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis. O impacto é mitigado por uma Política de Segurança de Conteúdo (Content Security Policy), que restringe a execução de scripts.

Recommendations Atualizar para a versão 2.28.2.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-44655

GHSA-7MQJ-8GJ2-CG59

Produtos afetados

Mantisbt

Mantisbt/Mantisbt

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44655.json · Exploit
• https://github.com/mantisbt/mantisbt/commit/5cb4b469295889f5d2b01677c9bf82c143e0fdaa · Nota
• https://github.com/mantisbt/mantisbt/security/advisories/GHSA-7mqj-8gj2-cg59 · Nota
• https://github.com/mantisbt/mantisbt · Nota
• https://mantisbt.org/bugs/view.php?id=37099 · Nota
• https://reddit.com/r/VulnMatter/comments/1tb1tta/resumen_diario_de_vulnerabilidades_12052026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-44655 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7mqj-8gj2-cg59 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-44655 · Aviso do Fabricante