根据其版本号，远程 Bugzilla 错误跟踪系统容易受到各种缺陷的影响：

- 管理员可能会在远程主机上执行任意 SQL 命令。

- 有些信息泄漏实例可能会让攻击者知道数据库密码（在某些情况下，仅 2.17.x）或获取本应隐藏的产品的名称。

- 具有授权成员特权的用户可能会提升其特权并属于另一群组。

- 管理 Web 界面中存在一个跨站脚本问题。

- 可以在 URL 中嵌入用户密码（仅 2.17.x）。

- 存在多个信息泄露漏洞，这些漏洞可能会允许用户确定其他用户和非用户的名称，从而获取产品列表，包括管理员可能想要保密的产品列表。

检测

Bugzilla < 2.16.6 / 2.18rc1 多个漏洞（XSS、SQLi、Priv Esc 等）

medium Nessus 插件 ID 13635

未找到变更日志