注目★★★★★GitHub Advisory
MantisBT 2.28.3 以前に反射型 XSS、認証なしで管理画面から認証情報盗聴可能
30秒で把握
- 1MantisBT 2.28.3 以前の /admin/install.php に 6 つの反射型 XSS・認証不要で悪用可能
- 2認証情報盗聴用の偽フォーム注入や開リダイレクト、CSS による UI 操作が可能
- 3/admin ディレクトリ削除が暫定策・修正済みコミット確認後に速やかに更新推奨
要約
MantisBT 2.28.3 以前の /admin/install.php に 6 つの反射型 XSS 脆弱性が存在し、認証不要で悪用可能である。ユーザー入力がエスケープなしに print_test_result() 経由で HTML に出力される。Content Security Policy は inline JavaScript を制限するが form-action ディレクティブが欠落しており、攻撃者は認証情報盗聴用の偽ログインフォーム注入や開リダイレクト、CSS インジェクションによる UI 操作が可能である。GitHub に修正コミットが公開されている。
あなたへの影響
MantisBT を運用する場合は /admin/install.php にインターネット経由でアクセス可能な状態になっていないか確認し、不要なら /admin ディレクトリ全体の削除を検討してください。
推奨：既に修正が公開されているため、可能な限り速やかに更新することを推奨します。