CVE-2026-47156

MantisBT açıq mənbəli xətaların izləyicisidir. 2.28.3 və daha öncəki versiyalarda SOAP API-nin mci_check_login() funksiyasında kritik autentifikasiyadan yan keçmə boşluğu mövcuddur. Hər hansı etibarlı cookie_string dəyərini bilən istifadəçi, hədəf şəxsin parolunu bilmədən, onun istifadəçi adını bildiyi təqdirdə, o cümlədən administrator kimi digər istifadəçilər adı altında autentifikasiya ola bilər. Defolt MantisBT quraşdırmalarında özünəqeydiyyat aktiv olduğu üçün ($g_allow_signup = ON), bu boşluq heç bir əvvəlki giriş olmadan istismar edilə bilər. Özünəqeydiyyatdan keçmiş istifadəçi daxil olduqdan sonra brauzerindəki MANTIS_STRING_COOKIE kukisindən oxuduğu öz cookie_string dəyərini SOAP API vasitəsilə administratoru təqlid etmək üçün istifadə edə bilər. REST API buna təsir etmir. REST API-nin AuthMiddleware komponenti istifadəçi adını server tərəfində API tokeni və ya sessiya kukisindən əldə edir, buna görə də istifadəçi adı saxtalaşıdırıla bilməz. Veb interfeysə (Web UI) təsir etmir. Veb interfeys PHP sessiya kukiləri (PHPSESSID) vasitəsilə autentifikasiya aparır və auth_is_cookie_valid() vasitəsilə MANTIS_STRING_COOKIE-ni daxil olmuş istifadəçiyə qarşı yoxlayır. İstifadəçi adı müştəri tərəfindən təmin edilmir, server tərəfində kukidən əldə edilir. Versiya 2.28.4-də düzəliş (patch) tətbiq edilmişdir. Məlum olan alternativ həll yolu yoxdur.