遠端 Web 伺服器主控的 Bugzilla 版本允許未經驗證的遠端攻擊者使用時間追蹤欄位 (例如「estimated_time」、「remaining_time' 'work_time' 'actual_time」、「percentage_complete」或「deadline」)，執行布林圖表搜尋，即使攻擊者不是由 'timetrackinggroup' 參數所定義之群組的一部分也是如此。

攻擊者成功惡意利用此問題可搜尋符合一或多個時間追蹤欄位準則的錯誤。

安裝的版本也可能受到本機資訊洩漏問題的影響，其可能允許本機使用者先在於「localconfig」中將「$use_suexec」設定為 1 的情況下執行 checksetup.pl 之後，再讀取檔案「localconfig」，不過 Nessus 尚未針對此問題進行檢查。

除此之外，bugzilla 的遠端版本還容易受到因對「localconfig」檔案、data/webdot 與 .bzr/ 目錄的權限設定不當所導致的資訊洩漏問題影響，這可能允許本機使用者讀取他們沒有存取權的檔案。

偵測

Bugzilla「時間追蹤」欄位資訊洩漏

medium Nessus Plugin ID 47166

找不到變更記錄