MantisBT 1.2.x < 1.2.13 多种漏洞

medium Nessus 插件 ID 64560

语言：

简介

远程 Web 服务器包含受到多个漏洞影响的 PHP 应用程序。

描述

根据其版本号，远程 Web 服务器上托管的 MantisBT 受到多种漏洞的影响：

- 该应用程序的版本 1.2.12 受到一个跨站脚本 (XSS) 漏洞的影响，原因是“search.php”脚本未正确审查用户向“match_type”参数提供的输入。攻击者可利用此问题将任意 HTML 和脚本代码注入用户的浏览器，并在受影响站点的安全环境中执行。(CVE-2013-0197)

- 该应用程序的版本 1.2.12 受到一个跨站脚本 (XSS) 漏洞的影响，原因是该应用程序未正确审查用户提供的输入。具有管理员权限的用户可创建包含 JavaScript 代码的类别或项目名称。这些代码之后会在访问 summary.php 脚本的用户的浏览器中执行。

- 该应用程序受到一个与工作流有关的缺陷的影响，具有“Reporter”权限的用户即使没有充分的权限，也可将任何问题的状态修改为“New”。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。