MantisBT Incorrect Authorization in bug_actiongroup_page.php

中 4.3CVE-2020-29605 · GHSA-pgg9-mmcg-8mxp · 29/01/2021 公開 · 17/06/2026 更新

要点

CVE-2020-29605 は mantisbt/mantisbt, mantisbt (mantisbt) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.90%（全脆弱性の 59.8% より高い）。
対処：2.24.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
mantisbt/mantisbt Packagist	`< 2.24.4`	`2.24.4`
mantisbt mantisbt	`< 2.24.4`	`2.24.4`

概要

An issue was discovered in MantisBT before 2.24.4. Due to insufficient access-level checks, any logged-in user allowed to perform Group Actions can get access to the Summary fields of private Issues via bug_arr[]= in a crafted bug_actiongroup_page.php URL. (The target Issues can have Private view status, or belong to a private Project.)

NVD の説明