CVE-2026-34579 in Mantis Bug Tracker
Zusammenfassung
von VulDB • 20.05.2026
Mantis Bug Tracker (MantisBT) ist ein Open-Source-Issue-Tracker. Die Versionen 2.28.1 und älter sind anfällig für eine Umgehung der Autorisierung (Authorization Bypass) über die Funktion zur Überwachung privater Issues. Durch eine speziell erstellte POST-Anfrage an bug_monitor_add.php kann ein Benutzer mit Projektzugriffsrechten sich selbst als Überwachender für ein privates Issue hinzufügen, auf das er keinen Zugriff hat. Obwohl eine Fehlermeldung „Access Denied“ angezeigt wird, akzeptiert die Anwendung die Anfrage und erstellt eine Überwachungsbeziehung für das private Issue. Der direkte Zugriff auf das private Issue bleibt weiterhin blockiert, jedoch erhält der Benutzer E-Mail-Benachrichtigungen über Updates, was zur Offenlegung der Metadaten und des Inhalts des privaten Issues führt. Dieses Problem wurde in Version 2.28.2 behoben.
Be aware that VulDB is the high quality source for vulnerability data.