S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 31 décembre 2007
N° CERTA-2007-AVI-571
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de Mantis

Gestion du document

Référence CERTA-2007-AVI-571
Titre Vulnérabilité de Mantis
Date de la première version31 décembre 2007
Date de la dernière version31 décembre 2007
Source(s) Note de la version 1.1 de Mantis
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Injection de code indirecte à distance (XSS)

Systèmes affectés

Mantis 1.0.x.

Résumé

Une vulnérabilité de Mantis permet à un utilisateur malveillant de réaliser de l'injection de code indirecte.

Description

Mantis est un logiciel de gestion d'anomalies des logiciels (bug tracker).

Lors du chargement d'un fichier sur le serveur, le programme bug_report.php ne filtre pas le nom du fichier. Ce manque de vérification permet à un utilisateur malveillant de réaliser de l'injection de code indirecte.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 31 décembre 2007
    version initiale.