FreeBSD：mantis -- 多种漏洞 (55587adb-b49d-11e1-8df1-0004aca374af)

high Nessus 插件 ID 59466

语言：

简介

远程 FreeBSD 主机缺少与安全相关的更新。

描述

Mantis 报告：

Roland Becker 和 Damien Regad（MantisBT 开发人员）发现，任何能够通过 SOAP 界面报告问题的用户也可修改其他用户创建的任何缺陷说明（注释）。在默认/典型的 MantisBT 安装中，启用了 SOAP API，任何用户都可以注册报告新问题。因此，此漏洞会影响许多面向公共的 MantisBT 安装。

Roland Becker（MantisBT 开发人员）发现，当用户尝试删除问题中的附件时不检查 delete_attachments_threshold 权限，而是检查更通用的 update_bug_threshold 权限。MantisBT 管理员可能获得错误的印象，认为他们的 delete_attachments_threshold 配置能成功阻止有害的用户删除附件。