MantisBT unauthorized disclosure of private project column configuration

TRUNG BÌNH 4.3CVE-2025-62520 · GHSA-g582-8vwr-68h2 · Công bố 04/11/2025 · cập nhật 19/10/2026

Tóm tắt nhanh

CVE-2025-62520 là lỗ hổng mức TRUNG BÌNH (CVSS 4.3) ảnh hưởng mantisbt/mantisbt, mantisbt (mantisbt).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.26%, cao hơn 18.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.27.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
mantisbt/mantisbt Packagist	`< 2.27.2`	`2.27.2`
mantisbt mantisbt	`< 2.27.2`	`2.27.2`

Mô tả

Impact

Due to insufficient access-level checks, any non-admin user having access to manage_config_columns_page.php (typically project managers having MANAGER role) can use the Copy From action to retrieve the columns configuration from a private project they have no access to.

Access to the reverse operation (Copy To) is correctly controlled, i.e. it is not possible to alter the private project's configuration.

Patches

The vulnerability will be fixed in MantisBT version 2.27.2.

Workarounds

None

Credits

Thanks to d3vpoo1 for reporting the issue.

Mô tả của NVD

Mantis Bug Tracker (MantisBT) is an open source issue tracker. In versions 2.27.1 and below, due to insufficient access-level checks, any non-admin user with access to manage_config_columns_page.php can use the Copy From action to retrieve the columns configuration from a private project they have no access to. This issue is fixed in version 2.27.2.