CVE-2026-34579
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Mantis Bug Tracker (MantisBT) w wersjach 2.28.1 i wcześniejszych jest podatny na obejście autoryzacji poprzez funkcję monitorowania prywatnych zgłoszeń. Użytkownik z dostępem na poziomie projektu może dodać się jako monitor prywatnego zgłoszenia, do którego nie ma dostępu, wysyłając spreparowane żądanie POST do bug_monitor_add.php. Mimo wyświetlenia błędu Access Denied, aplikacja akceptuje żądanie i tworzy relację monitora, co skutkuje otrzymywaniem powiadomień e-mail o aktualizacjach, ujawniając metadane i treść prywatnego zgłoszenia. Problem został naprawiony w wersji 2.28.2.
Ocena ryzyka
Ryzyko polega na możliwości uzyskania przez użytkownika z dostępem projektowym powiadomień o zmianach w prywatnych zgłoszeniach, co prowadzi do ujawnienia poufnych informacji.
Rekomendacja
Zaleca się aktualizację MantisBT do wersji 2.28.2 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Mantis Bug Tracker (MantisBT) is an open source issue tracker. Versions 2.28.1 and prior are vulnerable to Authorization Bypass through the private issue monitoring feature . Using a crafted POST request to bug_monitor_add.php, a user with project-level access can add themselves as a monitor for a private issue they do not have access to. Despite displaying an Access Denied error, the application accepts the request and creates a monitor relationship for the private issue. Direct access to the private issue remains blocked, but the user will receive email notifications for updates, leading to disclosure of the private issue's metadata and content. This issue has been fixed in version 2.28.2.