Dregad

Foi descoberta uma vulnerabilidade no MantisBT, na qual o escape inadequado de um `nome de plugin` permite a execução de código arbitrário nos arquivos `manage plugin page.php` e `manage plugin uninstall.php` quando um plugin malicioso é instalado, desde que a Política de Segurança de Conteúdo (CSP) permita isso.

The issue allows for Post Authentication Command Injection, which can lead to Remote Code Execution.

An access control issue allows users with "Reporter" permissions to change the status of any issue to "New".

A cross-site scripting issue exists in the configuration report page, allowing remote authenticated users to inject arbitrary web script or HTML via a complex value in the adm config report.php file.