MantisBT Authenticated XSS Account Takeover via font_family Injection (CVE-2026-40596)

脆弱性概要：MantisBT アカウント乗っ取り脆弱性 (CVE-2026-40596) 脆弱性情報 本脆弱性により、認証済みユーザーは 環境設定を更新することで任意の HTML コードを注入し、アカウントの乗っ取り（アカウントハイジャック）を実現できます。攻撃者は に対して POST リクエストを送信して 設定値を更新でき、この値は出力時に検証またはエスケープされません。 影響範囲 影響を受けるバージョン：MantisBT 2.11.0 以前 深刻度：深刻 再現性：常に再現可能 影響：攻撃者は悪意のある HTML/JavaScript コードを注入し、クロスサイトスクリプティング (XSS) を引き起こすことができます。これにより、アカウントの乗っ取りやバックドアアカウントの作成などの悪意ある行為が可能になります。 修正方針 1. 設定値の検証： 設定値を有効なフォント名のリストに制限することをお勧めします。例： 2. HTML 実体エンコーディング：ホワイトリスト外のフォントを使用する必要がある場合は、 設定値に対して HTML 実体エンコーディングを適用する必要があります。 3. コンテンツセキュリティポリシー (CSP)： 応答ヘッダーを 、 、 および他のイメージ MIME タイプ（例： ）にのみ制限し、CSP のバイパスリスクを低減することをお勧めします。 4. CSRF 保護：ログインページに CSRF トークンの検証が含まれていることを確認し、クロスサイトリクエストフォージェリ (CSRF) 攻撃を防止します。 POC コード 1. 初期 XSS 注入 2. CSP をバイパスする JavaScript ファイルのアップロード 3. JavaScript ファイルペイロード 4. MIME タイプチェックのバイパス 5. CSRF を利用したアカウント乗っ取り 6. Cookie 注入 XSS ペイロード 7. 自動化 PoC スクリプト (poc.py) 追加情報 テストバージョン：2.29.0-dev (コミット: https://github.com/mantisbt/mantisbt/commit/73d57992b5cb0b7b8e3a2f6a219071e0523) ラベル：なし 関連問題： - 0037016: CVE-2026-40597: 添付ファイルによるセキュリティポリシーのバイパス - 0037019: 環境設定保存時にユーザーが選択したフォントが上書きされる - 0037130: login_password_page.php: 2.28.2 以降、auth_reauthenticate() 経由で呼び出された場合に CSRF 検証が失敗する - 0037135: 匿名ログインにおける CSRF 検証失敗の修正

目標達成 すべての支援者に感謝 — 100%達成しました！

MantisBT Authenticated XSS Account Takeover via font_family Injection (CVE-2026-40596)

目標達成すべての支援者に感謝 — 100%達成しました！