CVE-2026-47156 in MantisBT
Zusammenfassung
von VulDB • 09.09.2026
MantisBT ist ein Open-Source-Bugtracker. Die Versionen 2.28.3 und älter enthalten eine kritische Authentifizierungsumgehung in der Funktion mci_check_login() der SOAP-API. Jeder Benutzer, der einen gültigen cookie_string kennt, kann sich als jeder andere Benutzer (unter Kenntnis dessen Benutzernamens) authentifizieren, einschließlich des Administrators, ohne das Passwort des Ziels zu kennen. Die Schwachstelle ist auf Standard-MantisBT-Installationen ausnutzbar, da die Selbstregistrierung standardmäßig aktiviert ist ($g_allow_signup = ON). Ein selbst registrierter Benutzer kann seinen eigenen cookie_string (lesbar aus dem MANTIS_STRING_COOKIE-Cookie des Browsers nach der Anmeldung) verwenden, um sich über die SOAP-API als Administrator auszugeben. Die REST-API ist NICHT betroffen. Das AuthMiddleware der REST-API leitet den Benutzernamen serverseitig aus dem API-Token oder dem Sitzungscookie ab, sodass der Benutzername nicht gefälscht werden kann. Die Web-Benutzeroberfläche (Web UI) ist NICHT betroffen. Die Web-Oberfläche authentifiziert sich über PHP-Sitzungscookies (PHPSESSID) und validiert den MANTIS_STRING_COOKIE gegen den angemeldeten Benutzer durch auth_is_cookie_valid(). Der Benutzername wird serverseitig aus dem Cookie abgeleitet, nicht vom Client bereitgestellt. Version 2.28.4 enthält einen Patch. Es sind keine bekannten Workarounds verfügbar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.