Plateforme
php
Composant
mantisbt/mantisbt
Corrigé dans
2.28.1
2.28.1
La vulnérabilité CVE-2026-33517 est une faille de cross-site scripting (XSS) affectant MantisBT versions inférieures ou égales à 2.28.0. Cette faille permet à un attaquant d'injecter du code HTML malveillant lors de la suppression d'une balise, potentiellement conduisant à l'exécution de JavaScript dans le navigateur d'un utilisateur. Une version corrigée, 2.28.1, est disponible, et des contournements temporaires sont également proposés.
L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'injecter des scripts malveillants dans les pages web de MantisBT. Ces scripts peuvent être utilisés pour voler des informations sensibles, telles que les cookies de session, ou pour rediriger les utilisateurs vers des sites web malveillants. Dans des environnements où les politiques de sécurité du contenu (CSP) sont moins strictes, l'attaquant pourrait même exécuter du code JavaScript arbitraire, compromettant ainsi la sécurité de l'application et des données associées. Cette vulnérabilité est particulièrement préoccupante dans les environnements partagés où plusieurs utilisateurs accèdent à MantisBT, car une attaque réussie pourrait affecter tous les utilisateurs.
Cette vulnérabilité a été rendue publique le 2026-03-25. Il n'y a pas d'indication d'une présence sur le KEV de CISA au moment de la rédaction. Aucun proof-of-concept (PoC) public n'a été identifié à ce jour, mais la nature de la vulnérabilité XSS la rend potentiellement exploitable. Une surveillance accrue est recommandée.
Organizations using MantisBT for project management, particularly those with sensitive data or critical workflows, are at risk. Shared hosting environments where multiple MantisBT instances are installed on the same server are also at increased risk, as a compromise of one instance could potentially lead to the compromise of others.
• php / server:
grep -r "sprintf($s_tag_delete_message, %1\$s)" -- lang/• generic web:
curl -I http://your-mantisbt-instance/tag_delete.php?tag=alert('XSS')• generic web:
Check MantisBT language files for the vulnerable string $stagdelete_message containing %1$s.
disclosure
Statut de l'Exploit
EPSS
0.04% (percentile 11%)
CISA SSVC
La solution la plus recommandée est de mettre à jour MantisBT vers la version 2.28.1, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des contournements temporaires peuvent être appliqués. Il est possible de revenir au commit d6890320752ecf37bd74d11fe14fe7dc12335be9. Une autre option consiste à modifier manuellement les fichiers de langue pour supprimer le placeholder %1$s de la chaîne *$stagdelete_message*. Après la mise à jour ou l'application d'un contournement, vérifiez que la vulnérabilité est bien corrigée en tentant de supprimer une balise et en observant si le code HTML injecté est correctement échappé.
Actualice MantisBT a la versión 2.28.1 o posterior. Como alternativa, revierta el commit d6890320752ecf37bd74d11fe14fe7dc12335be9 o edite manualmente los archivos de idioma para eliminar el marcador de posición sprintf `%1$s` de la cadena `$s_tag_delete_message`.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-33517 is a cross-site scripting (XSS) vulnerability in MantisBT versions up to 2.28.0, allowing attackers to inject malicious code.
You are affected if you are using MantisBT version 2.28.0 or earlier. Upgrade to 2.28.1 to mitigate the risk.
Upgrade to MantisBT version 2.28.1. Alternatively, revert commit d6890320752ecf37bd74d11fe14fe7dc12335be9 or manually edit language files.
While no active exploitation is currently confirmed, the vulnerability's nature makes it likely that exploits will emerge.
Refer to the MantisBT project website and security advisories for the latest information and updates.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.