FICHE CVE

CVE-2026-30849

Publiée le 2026-03-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Mantis Bug Tracker utilisant des bases de données MySQL sont vulnérables à un contournement de l'authentification via l'API SOAP. Un attaquant connaissant un nom d'utilisateur valide peut se connecter en tant que cet utilisateur sans mot de passe en envoyant une requête spécifiquement conçue, lui donnant ainsi accès à toutes les fonctions de l'API auxquelles cet utilisateur est autorisé. Cette attaque peut être réalisée à distance via le réseau, sans authentification préalable ni interaction de l'utilisateur.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-305

Publiée2026-03-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Mantis Bug Tracker (MantisBT) is an open source issue tracker. Versions prior to 2.28.1 running on MySQL family databases are affected by an authentication bypass vulnerability in the SOAP API, as a result of an improper type checking on the password parameter. Other database backends are not affected, as they do not perform implicit type conversion from string to integer. Using a crafted SOAP envelope, an attacker knowing the victim's username is able to login to the SOAP API with their account without knowledge of the actual password, and execute any API function they have access to. Version 2.28.1 contains a patch. Disabling the SOAP API significantly reduces the risk, but still allows the attacker to retrieve user account information including email address and real name.