CVSS: 4.7EPSS: 0%CPEs: 1EXPL: 1CVE-2018-16514
https://notcve.org/view.php?id=CVE-2018-16514
A cross-site scripting (XSS) vulnerability in the View Filters page (view_filters_page.php) and Edit Filter page (manage_filter_edit_page.php) in MantisBT 2.1.0 through 2.17.0 allows remote attackers to inject arbitrary code (if CSP settings permit it) through a crafted PATH_INFO. NOTE: this vulnerability exists because of an incomplete fix for CVE-2018-13055. Una vulnerabilidad de tipo cross-site scripting (XSS) en las páginas View Filters (view_filters_page.php) y Edit Filter (manage_filter_edit_page.php) en MantisBT versión 2.1.0 hasta 2.17.0, permite a los atacantes remotos inyectar código arbitrario (si la configuración CSP lo permite ) por medio de un PATH_INFO creado. NOTA: esta vulnerabilidad existe debido a una solución incompleta del CVE-2018-13055. • https://mantisbt.org/bugs/view.php?id=24731 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 1CVE-2018-9839
https://notcve.org/view.php?id=CVE-2018-9839
An issue was discovered in MantisBT through 1.3.14, and 2.0.0. Using a crafted request on bug_report_page.php (modifying the 'm_id' parameter), any user with REPORTER access or above is able to view any private issue's details (summary, description, steps to reproduce, additional information) when cloning it. By checking the 'Copy issue notes' and 'Copy attachments' checkboxes and completing the clone operation, this data also becomes public (except private notes). Se descubrió un problema en MantisBT a través de 1.3.14 y 2.0.0. Al usar una solicitud diseñada en bug_report_page.php (modificando el parámetro 'm_id'), cualquier usuario con acceso a REPORTER o superior puede ver los detalles de cualquier problema privado (resumen, descripción, pasos para reproducir, información adicional) al clonarlo. • https://github.com/mantisbt/mantisbt/commit/1fbcd9bca2f2c77cb61624d36ddee4b3802c38ea https://mantisbt.org/bugs/view.php?id=24221 • CWE-20: Improper Input Validation •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2018-17783
https://notcve.org/view.php?id=CVE-2018-17783
A cross-site scripting (XSS) vulnerability in the Edit Filter page (manage_filter_edit page.php) in MantisBT 2.1.0 through 2.17.1 allows remote attackers (if access rights permit it) to inject arbitrary code (if CSP settings permit it) through a crafted project name. Una vulnerabilidad de Cross-Site Scripting (XSS) en la página Edit Filter (manage_filter_edit page.php) en MantisBT, desde la versión 2.1.0 hasta la 2.17.1, permite que los atacantes remotos (si los derechos de acceso lo permiten) inyecten código arbitrario (si la configuración CSP lo permite) mediante un nombre de proyecto manipulado. • https://mantisbt.org/blog/archives/mantisbt/613 https://mantisbt.org/bugs/view.php?id=24814 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2018-17782
https://notcve.org/view.php?id=CVE-2018-17782
A cross-site scripting (XSS) vulnerability in the Manage Filters page (manage_filter_page.php) in MantisBT 2.1.0 through 2.17.1 allows remote attackers (if access rights permit it) to inject arbitrary code (if CSP settings permit it) through a crafted project name. Una vulnerabilidad de Cross-Site Scripting (XSS) en la página Manage Filters (manage_filter_page.php) en MantisBT, desde la versión 2.1.0 hasta la 2.17.1, permite que los atacantes remotos (si los derechos de acceso lo permiten) inyecten código arbitrario (si la configuración CSP lo permite) mediante un nombre de proyecto manipulado. • https://mantisbt.org/blog/archives/mantisbt/613 https://mantisbt.org/bugs/view.php?id=24813 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2018-16362
https://notcve.org/view.php?id=CVE-2018-16362
An issue was discovered in the Source Integration plugin before 1.5.9 and 2.x before 2.1.5 for MantisBT. A cross-site scripting (XSS) vulnerability in the Manage Repository and Changesets List pages allows execution of arbitrary code (if CSP settings permit it) via repo_manage_page.php or list.php. Se ha descubierto un problema en el plugin Source Integration en versiones anteriores a la 1.5.9 y versiones 2.x anteriores a la 2.1.5 para MantisBT. Una vulnerabilidad Cross-Site Scripting (XSS) en las páginas "Manage Repository" y "Changesets List" permite la ejecución de código arbitrario (si lo permite la configuración CSP) mediante repo_manage_page.php o list.php. • https://github.com/mantisbt-plugins/source-integration/issues/286 https://github.com/mantisbt-plugins/source-integration/releases/tag/v1.5.9 https://github.com/mantisbt-plugins/source-integration/releases/tag/v2.1.5 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •