MantisBT 1.2.x < 1.2.18 多种漏洞

high Nessus 插件 ID 80914

语言：

简介

远程 Web 服务器包含受到多种漏洞影响的 PHP 应用程序。

描述

根据其版本号，远程 Web 服务器上托管的 MantisBT 应用程序版本是低于 1.2.18 的 1.2.x。因此，它受到以下漏洞的影响：

- 存在多种输入验证错误，可允许跨站脚本攻击。（CVE-2014-7146、CVE-2014-8986、CVE-2014-8987、CVE-2014-9269、CVE-2014-9270、CVE-2014-9271、CVE-2014-9272、CVE-2014-9280、CVE-2014-9281）

- 存在两个不明错误，可允许 SQL 注入攻击。（CVE-2014-8554、CVE-2014-9089）

- 存在三个不明错误，可允许信息泄露攻击。（CVE-2014-8553、CVE-2014-8988、CVE-2014-9279）

- 文件“core/string_api.php”中存在一个错误，可允许开放重定向攻击。(CVE-2014-6316)

- 文件“gpc_api.php”中存在一个错误，可允许攻击者通过使用以空字节开头的密码绕过认证保护。
(CVE-2014-6387)

-“XML Import/Export”插件中存在一个错误，可允许未经授权的攻击者上传 XML 文件或获取敏感信息。(CVE-2014-8598)

- 存在一个与 CAPTCHA 保护机制和参数“public_key”相关的错误，可允许安全绕过。(CVE-2014-9117)

请注意 Nessus 并不试图利用此问题，而只依赖于应用程序自我报告的版本号。