Tóm tắt nhanh
- CVE-2026-44657 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng mantisbt/mantisbt.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.35%, cao hơn 28.6% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2.28.2 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| mantisbt/mantisbt Packagist | < 2.28.2
| 2.28.2
|
Mô tả
Using show_inline=1 parameter and a valid file_show_inline_token CSRF token on file_download.php, an attacker can execute code by uploading a crafted XHTML attachment referencing a JavaScript attachment.
Impact
Cross-site scripting
Patches
- 26647b2e68ba30b9d7987d4e03d7a16416684bc2
Workarounds
None
Credits
Thanks to siunam (Tang Cheuk Hei) for discovering and responsibly reporting the issue.
Mô tả của NVD
Mantis Bug Tracker (MantisBT) is an open source issue tracker. Prior to 2.28.2, using show_inline=1 parameter and a valid file_show_inline_token CSRF token on file_download.php, an attacker can execute code by uploading a crafted XHTML attachment referencing a JavaScript attachment. This vulnerability is fixed in 2.28.2.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí