CVE-2024-34081
Açıklama
MantisBT (Mantis Bug Tracker), açık kaynaklı bir hata takip sistemidir. Bir özel alan adının uygun şekilde kaçırılmaması (escaping), saldırganın HTML enjekte etmesine ve eğer CSP ayarları izin veriyorsa; söz konusu özel alanı bağlayan bir projeye ait hataları çözerken veya kapatırken (`bug_change_status_page.php`), özel alan bir sütun olarak görüntülendiğinde hataları görüntülerken (`view_all_bug_page.php`) veya özel alan bir sütun olarak görüntülendiğinde hataları yazdırırken (`print_all_bug_page.php`) rastgele JavaScript çalıştırılmasına olanak tanır. Sürüm 2.26.2 bu sorun için bir yama içermektedir. Geçici bir çözüm olarak, Özel Alan Adlarının HTML etiketleri içermediğinden emin olun.
Nasıl düzeltilir
- mantisbt mantisbt2.26.2 ya da sonraki bir sürüm
- mantisbt/mantisbt2.26.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mantisbt mantisbt | v < 2.26.2 | 2.26.2 |
| mantisbt/mantisbtPackagist | v < 2.26.2 | 2.26.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.