Iniciar sesión
Deutsch English Español Polski
Media

MantisBT: Authorization Bypass in Bugnote Editing via Issue Update API

  • Publicada: 11.05.2026
  • Actualizado: 11.10.2026 10:22

The mc_issue_update() function in MantisBT allows users having update_bug_threshold access (UPDATER, with default settings) to edit, change view state, and modify time tracking on bugnotes belonging to other users — bypassing the default DEVELOPER (level 55) threshold required by the dedicated mc_issue_note_update() function.

Impact

  1. UPDATER can edit notes by DEVELOPER/MANAGER/ADMIN — bypassing the DEVELOPER threshold
  2. UPDATER can change private notes to public — exposing confidential internal discussion
  3. UPDATER can change public notes to private — hiding information from reporters/viewers

Patches

  • 6e58fae4f22efdc3987f903c8ba2611de17a9435

Workarounds

None

Credits

Thanks to the following security researchers for independently discovering and responsibly reporting the issue.

  • Vishal Shukla
  • Tristan Madani (@TristanInSec) from Talence Security

This advisory's contents was largely copied from Tristan's well-written report.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer mantisbt/mantisbt < 2.28.2 2.28.2

Referencias

Puntuación CVSS -
Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
Debilidad (CWE)
CWE-863
Plataforma
Composer
Paquete
mantisbt/mantisbt
Publicada
11.05.2026
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-pq86-j2c2-47f6 - CC BY 4.0

Historial de vulnerabilidades: mantisbt/mantisbt

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (74) en el archivo
Entradas en total
74
Primera → última
04.2022 07.2026
Sin corrección
2
Explotada en ataques
0

Distribución por gravedad

  • Crítica 4
  • Alta 20
  • Media 49
  • Baja 1

Divulgaciones por año

Gravedad:
  1. MantisBT: Stored XSS in print_all_bug_page_word.php
    Alta CVE-2026-62944 < 2.28.4 2.28.4
  2. MantisBT: Reflected XSS in admin/install.php via unescaped printf
    Crítica CVE-2026-52881 < 2.28.4 2.28.4
  3. MantisBT: Reflected XSS in admin/install.php
    Crítica CVE-2026-52847 < 2.28.4 2.28.4
  4. MantisBT: Remote Code Execution via eval() Class Hoisting in adm_config_set.php
    Alta CVE-2026-49273 >= 1.3.0, < 2.28.4 2.28.4
  5. MantisBT: SOAP API Authentication Bypass with Privilege Escalation to Administrator
    Crítica CVE-2026-47156 < 2.28.4 2.28.4
  6. MantisBT: SQL Injection via history_order Configuration Value
    Alta CVE-2026-47142 < 2.28.4 2.28.4
  7. MantisBT Vulnerable to Stored XSS in File Download
    Alta CVE-2026-44657 < 2.28.2 2.28.2
  8. MantisBT has Stored XSS on Move Attachments Admin Page
    Alta CVE-2026-44655 >= 1.3.0, < 2.28.2 2.28.2
  9. MantisBT has a Private Bugnote Attachment Content Leak via REST API
    Alta CVE-2026-42071 >= 2.23.0, < 2.28.2 2.28.2
  10. MantisBT: Authorization Bypass in Bugnote Editing via Issue Update API esta entrada
    Media CVE-2026-42070 < 2.28.2 2.28.2
  11. MantisBT is Vulnerable to Stored XSS in Saved-Filter Owner Column
    Alta CVE-2026-40607 >= 2.1.0, < 2.28.2 2.28.2
  12. MantisBT has a Content Security Policy bypass via attachments
    Alta CVE-2026-40597 < 2.28.2 2.28.2
  13. MantisBT is Vulnerable to XSS leading to account takeover via updating a user's font family preference
    Alta CVE-2026-40596 >= 2.11.0, < 2.28.2 2.28.2
  14. MantisBT is Vulnerable to Stored HTML Injection/XSS in Clone Issue Form
    Alta CVE-2026-34463 < 2.28.2 2.28.2
  15. MantisBT has Stored HTML Injection/XSS when displaying Tags in Timeline
    Alta · 6.1 CVE-2026-33548 >= 2.28.0, < 2.28.2 2.28.2
  16. MantisBT Vulnerable to Stored HTML Injection in Tag Delete Confirmation
    Alta CVE-2026-33517 >= 2.28.0, < 2.28.1 2.28.1
  17. MantisBT is vulnerable to authentication bypass through the SOAP API on MySQL
    Crítica CVE-2026-30849 < 2.28.1 2.28.1
  18. MantisBT vulnerable to authentication bypass for some passwords due to PHP type juggling
    Alta · 9.1 CVE-2025-47776 < 2.27.2 2.27.2
  19. Mantis Bug Tracker (MantisBT) allows user account takeover in the signup/reset password process
    Alta · 7.3 CVE-2024-34077 < 2.26.2 2.26.2
  20. MantisBT Host Header Injection vulnerability
    Alta · 8.3 CVE-2024-23830 < 2.26.1 2.26.1
Mostrar más (5) Mostrando 20 de 25

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.