Fix CVE-2013-4460, XSS in account_sponsor_page.php

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to its version number, the MantisBT install hosted on the remote web server is 1.1.0 or later but prior to 1.2.16. It is, therefore, affected by multiple vulnerabilities:

  - A cross-site scripting flaw exists with the     'account_sponsor_page.php' where the 'project_id'     parameter is not validated upon submission. This could     allow a remote attacker to execute arbitrary script     code within the browser / server trust relationship     with a specially crafted request. (CVE-2013-4460)

  - A SQL injection flaw exists in the SOAP API with the     'db_query()' function where user-supplied input is not     properly sanitized via the 'mc_issue_attachment_get'     SOAP request. This could allow a remote attacker to     inject or manipulate SQL queries, allowing for the     manipulation or disclosure of arbitrary data. This issue     affects version 1.1.0a4 or later. (CVE-2014-1608)

  - SQL injection flaws exists in     'core/news_api.php', 'core/summary_api.php',     'plugins/MantisGraph/core/graph_api.php',     'api/soap/mc_project_api.php', and 'proj_doc_page.php'     pages. This could allow a remote attacker to inject or     manipulate SQL queries, allowing for the manipulation or     disclosure of arbitrary data. This issue only affects     versions 1.2.0 - 1.2.15. (CVE-2014-1609)

Note that Nessus has relied only on the self-reported version number and has not actually tried to exploit these issues.

CVE-2013-4460、account_sponsor_page.php の XSS を修正します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Mantis バグ追跡システムで複数のセキュリティ問題が見つかりました。これによりフィッシング、情報漏洩、CAPTCHA バイパス、SQL インジェクション、クロスサイトスクリプティング、または任意の PHP コードの実行が、発生することがあります。

修正 CVE-2013-4460，account_sponsor_page.php 中的 XSS

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mantis 錯誤追蹤系統中發現多個安全性問題，可能導致網路釣魚攻擊、資訊洩漏、CAPTCHA 繞過、SQL 插入、跨網站指令碼或任意 PHP 程式碼執行。

修复 CVE-2013-4460，account_sponsor_page.php 中的 XSS

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 Mantis 缺陷跟踪系统中发现多种安全问题，可能导致钓鱼攻击、信息泄露、CAPTCHA 绕过、SQL 注入、跨站脚本或任意 PHP 代码执行。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
71056	Fedora 20 : mantis-1.2.15-3.fc20 (2013-20138)	Nessus	Fedora Local Security Checks	2013/11/25	2021/1/11	low
73226	MantisBT 1.1.0 < 1.2.16 Multiple Vulnerabilities	Nessus	CGI abuses	2014/3/27	2022/4/11	high
71057	Fedora 18：mantis-1.2.15-3.fc18（2013-20176）	Nessus	Fedora Local Security Checks	2013/11/25	2021/1/11	low
71058	Fedora 19：mantis-1.2.15-3.fc19（2013-20202）	Nessus	Fedora Local Security Checks	2013/11/25	2021/1/11	low
80401	Debian DSA-3120-1：mantis：セキュリティ更新	Nessus	Debian Local Security Checks	2015/1/8	2021/1/11	medium
71057	Fedora 18 : mantis-1.2.15-3.fc18 (2013-20176)	Nessus	Fedora Local Security Checks	2013/11/25	2021/1/11	low
71058	Fedora 19 : mantis-1.2.15-3.fc19 (2013-20202)	Nessus	Fedora Local Security Checks	2013/11/25	2021/1/11	low
80401	Debian DSA-3120-1 : mantis - 安全性更新	Nessus	Debian Local Security Checks	2015/1/8	2021/1/11	medium
71057	Fedora 18：mantis-1.2.15-3.fc18 (2013-20176)	Nessus	Fedora Local Security Checks	2013/11/25	2021/1/11	low
71058	Fedora 19：mantis-1.2.15-3.fc19 (2013-20202)	Nessus	Fedora Local Security Checks	2013/11/25	2021/1/11	low
80401	Debian DSA-3120-1：mantis - 安全更新	Nessus	Debian Local Security Checks	2015/1/8	2021/1/11	medium

检测

插件搜索

low

high

low

low

medium

low

low

medium

low

low

medium