CVE-2026-33517 是 MantisBT 项目中发现的一处跨站脚本攻击（XSS）漏洞。该漏洞允许攻击者通过构造恶意代码注入 HTML，如果内容安全策略（CSP）设置允许，则可能导致执行任意 JavaScript 代码。受影响的版本包括 MantisBT 2.28.0 及更早版本。建议升级至 2.28.1 或采取缓解措施。
该 XSS 漏洞的潜在影响是显著的。攻击者可以利用此漏洞窃取用户会话 Cookie，从而冒充用户执行各种操作，例如修改项目信息、发送通知或访问敏感数据。此外，攻击者还可以利用此漏洞将恶意脚本注入到 MantisBT 界面中，从而劫持用户流量，进行钓鱼攻击，或传播恶意软件。由于 MantisBT 经常用于项目管理和缺陷跟踪，因此该漏洞可能导致敏感项目数据的泄露和系统安全性的破坏。
目前尚未观察到该漏洞被大规模利用。该漏洞已公开披露，并已发布补丁。根据 CISA 的评估，该漏洞的风险等级为中等。建议尽快采取缓解措施，以降低潜在风险。
Organizations using MantisBT for project management, particularly those with sensitive data or critical workflows, are at risk. Shared hosting environments where multiple MantisBT instances are installed on the same server are also at increased risk, as a compromise of one instance could potentially lead to the compromise of others.
• php / server:
grep -r "sprintf($s_tag_delete_message, %1\$s)" -- lang/• generic web:
curl -I http://your-mantisbt-instance/tag_delete.php?tag=alert('XSS')• generic web:
Check MantisBT language files for the vulnerable string $stagdelete_message containing %1$s.
disclosure
漏洞利用状态
EPSS
0.04% (11% 百分位)
CISA SSVC
为了缓解 CVE-2026-33517 的影响，建议立即升级至 MantisBT 2.28.1 版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，回滚到提交 d6890320752ecf37bd74d11fe14fe7dc12335be9 之前的版本。其次，手动编辑语言文件，移除 *$stagdelete_message* 字符串中的 %1$s 占位符，例如使用 sed -r -i '/tagdeletemessage/s/.%1\$s.//' -- lang/ 命令。升级后，请确认漏洞已修复，例如通过尝试删除标签并检查页面源代码中是否存在恶意脚本。
Actualice MantisBT a la versión 2.28.1 o posterior. Como alternativa, revierta el commit d6890320752ecf37bd74d11fe14fe7dc12335be9 o edite manualmente los archivos de idioma para eliminar el marcador de posición sprintf `%1$s` de la cadena `$s_tag_delete_message`.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-33517 是 MantisBT 2.28.0 之前的版本中发现的一处跨站脚本攻击（XSS）漏洞，允许攻击者注入恶意代码。
如果您正在使用 MantisBT 2.28.0 或更早版本，则可能受到此漏洞的影响。
建议升级至 MantisBT 2.28.1 版本。如果无法升级，请应用缓解措施，例如回滚到旧版本或修改语言文件。
目前尚未观察到该漏洞被大规模利用，但已公开披露，建议尽快采取缓解措施。
请访问 MantisBT 官方网站或 GitHub 仓库，查找有关此漏洞的公告和补丁信息。