p PatchFirst

CVE-2026-42071

CVE-2026-42071 · MantisBT: Private Bugnote Attachment Content Leak via REST API

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Mantis Bug Tracker (MantisBT) is an open source issue tracker. From 2.23.0 to 2.28.1, a missing authorization check in MantisBT's file visibility function allows any authenticated user (REPORTER+) to download attachments on private bugnotes they should not be able to access, via the REST API endpoint GET /api/rest/issues/{id}/files and SOAP API mc_issue_attachment_get endpoint. This vulnerability is fixed in 2.28.2.

CVSS 7.2 · Alta · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: php

Productos y versiones afectados

  • mantisbt

    Versiones
    • >= 2.23.0, < 2.28.2: Afectada

    Sin corrección publicada

  • mantisbt/mantisbt Packagist

    Versiones
    • 2.23.0
    • 2.23.1
    • 2.24.0
    • 2.24.1
    • 2.24.2
    • 2.24.3
    • 2.24.4
    • 2.24.5
    • 2.25.0
    • 2.25.1
    • 2.25.2
    • 2.25.3
    • 2.25.4
    • 2.25.5
    • 2.25.6
    • 2.25.7
    • 2.25.8
    • 2.26.0
    • 2.26.1
    • 2.26.2
    • 2.26.3
    • 2.26.4
    • 2.27.0
    • 2.27.1
    • 2.27.2
    • 2.27.3
    • 2.28.0
    • 2.28.1
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 2.23.0, < 2.28.2

    Actualiza a 2.28.2

Fuentes originales

Comprueba tu servidor →