注目★★★★★GitHub Advisory
MantisBT 2.28.3 以前、管理画面インストーラーに認証不要の反射型 XSS 6 箇所
30秒で把握
- 1MantisBT 2.28.3 以前の `/admin/install.php` に 6 箇所の反射型 XSS・認証不要で悪用可能
- 2form-action ディレクティブ欠落により フィッシングフォーム注入・UI 操作・オープンリダイレクトが可能
- 3本番環境は `/admin` ディレクトリ削除または即座にアクセス制限・パッチ適用を急ぐ
要約
MantisBT 2.28.3 以前の `/admin/install.php` に認証不要の反射型 XSS が 6 箇所あり、ユーザー入力が printf 形式文字列でエスケープなく HTML に出力される。Content Security Policy は script-src 'self' だが form-action ディレクティブが欠落しており、フィッシングフォーム注入と <meta> リダイレクトでの悪用が可能だ。攻撃者は本物の MantisBT 管理ページに見せかけたログインフォームをレンダリングして認証情報を奪取する、または被害者を無音で詐欺サイトへ誘導する、あるいは CSS インジェクションでページコンテンツを隠して社会工学的攻撃を仕掛けられる。修正パッチがリリースされ、一時対応として `/admin` ディレクトリの削除が推奨される。
あなたへの影響
MantisBT をオンプレ運用・開発しているチームは、本番環境の `/admin` ディレクトリが外部からアクセス可能でないか今すぐ確認し、オープンなら即座に削除またはアクセス制限を加えてください。
推奨：古いバージョンが動いている場合、インストーラーが削除されていないと認証画面そのものが詐欺対象になります。