CVE-2020-25288

Versões do MantisBT anteriores à 2.24.3

Foi descoberta uma vulnerabilidade que permite a injeção de HTML e, potencialmente, a execução de código JavaScript arbitrário ao editar uma tarefa em um projeto com um campo personalizado que possua uma propriedade de expressão regular maliciosamente criada. Isso ocorre devido à codificação inadequada do atributo pattern do campo de entrada do formulário correspondente.

Para versões anteriores à 2.24.3, atualize para a versão 2.24.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso de campos personalizados com propriedades de expressão regular até que a atualização seja aplicada.