MantisBT 1.2.x < 1.2.13 多個弱點

medium Nessus Plugin ID 64560

語系：

概要

遠端 Web 伺服器上有一個 PHP 應用程式受到多個弱點影響。

說明

根據其版本號碼，遠端 Web 伺服器上主控的 MantisBT 安裝受到多個弱點影響：

- 1.2.12 版的應用程式受到一個跨網站指令碼 (XSS) 弱點影響，這是因為「search.php」指令碼未正確清理使用者對「match_type」參數提供的輸入所導致。攻擊者可能會利用此弱點，將任意 HTML 和指令碼插入使用者的瀏覽器，以便在受影響網站的安全性內容中執行。(CVE-2013-0197)

- 1.2.12 版的應用程式受到一個跨網站指令碼 (XSS) 弱點影響，這是因為應用程式未正確清理使用者提供的輸入所導致。具有管理員或系統管理員權限的使用者可建立包含 JavaScript 程式碼的類別或專案名稱。然後會在造訪 summary.php 指令碼之使用者的瀏覽器中執行此程式碼。

- 應用程式受到工作流程相關的瑕疵影響，因為具有「報告者」權限的使用者可將任何問題的狀態修改為「新增」，即使使用者沒有進行變更的足夠權限也是如此。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。