MantisBT vulnerable to XSS due to improper escape in manage_plugin_page.php and manage_plugin_uninstall.php

中 6.1CVE-2022-26144 · GHSA-rqgj-rqfr-5j6f · 13/04/2022 公開 · 17/06/2026 更新

要点

CVE-2022-26144 は mantisbt/mantisbt, mantisbt (mantisbt) に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.83%（全脆弱性の 57.7% より高い）。
対処：2.25.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
mantisbt/mantisbt Packagist	`< 2.25.3`	`2.25.3`
mantisbt mantisbt	`< 2.25.3`	`2.25.3`

概要

An XSS issue was discovered in MantisBT before 2.25.3. Improper escaping of a Plugin name allows execution of arbitrary code (if CSP allows it) in manage_plugin_page.php and manage_plugin_uninstall.php when a crafted plugin is installed.

NVD の説明