PT-2026-27183

CVE-2026-33548

تاريخ النشر

2026-03-23

تاريخ التحديث

2026-03-25

الوصف من

CVSS 4.0

8.6

عالية

المقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات برنامج Mantis Bug Tracker السابقة للإصدار 2.28.1

الوصف

يحتوي إصدار 2.28.0 من برنامج Mantis Bug Tracker على ثغرة ناتجة عن عدم تطبيق إجراءات الترميز الصحيحة على أسماء العلامات المسترجعة من «السجل» (History) في ميزة «الخط الزمني» (Timeline)، وتحديدًا داخل ملف my view page.php. وهذا يتيح للمهاجم حقن كود HTML. وإذا سمحت إعدادات سياسة أمان المحتوى (CSP)، فقد يؤدي ذلك إلى تنفيذ تعليمات JavaScript عشوائية عند عرض علامة تمت إعادة تسميتها أو حذفها. المتغير المعرض للخطر هو $this->tag name داخل الدالة IssueTagTimelineEvent::html().

التوصيات

قم بالتحديث إلى الإصدار 2.28.1 أو أحدث من برنامج Mantis Bug Tracker.

كحل بديل، قم بتحرير إدخالات السجل المسببة للمشكلة باستخدام SQL.

كحل بديل، قم بتغليف $this->tag name في استدعاء string html specialchars() داخل الدالة IssueTagTimelineEvent::html().

قابلية الاستغلال

استغلال

إصلاح

التأثيرات

الباحثون

Shukla304

المورّدون

المنتجات المتأثرة