MantisBT 2.28.3 e anterior contém uma vulnerabilidade de execução de código remoto no recurso de administração "Gestão de Configuração" (adm_config_set.php). Ao configurar um valor de configuração com um tipo não- string (número inteiro, flutuante, complexo), o valor é passado pelo ConfigParser -> Tokenizer, que chama *eval(*) com um prefixo "return;" destinado a evitar a execução de código. No entanto, as unidades de içamento PHP funcionam e declarações de classe no momento da compilação, mesmo depois de uma instrução *return*. Um atacante pode definir uma classe no código eval()'d que seqüestra uma classe carregada mais tarde através do carregador automático do PHP, obtendo execução arbitrária de código. Esta vulnerabilidade requer o acesso do administrador à interface de usuário da web (adm_config_set.php). O Configurador de Configuração de Configuração da API REST NÃO usa o Tokenizer/ eval() e não é afetado.
### Impacto - Execução remota de código como usuário do servidor web (www- dados) de uma sessão de administrador autêntica ### Patches - commit/ 78 c 0 af 63 d 1 fe 0118004744 cabina 21 ca 3 bf 2 cea 0 f 5 c ### Recursos - 37122. ### Créditos McCaulay Hudson (@_McCaulay) de watchTowr.
Registro de aconselhamento: GHSA-v 84 x- qvhg- f 36 r. Identificadores relacionados: CVE- 2026 - 49273. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 15 T 16: 52: 24.000 Z e lista a sua última modificação como 2026 - 07 - 15 T 16: 52: 24.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/África do Sul:N.
Software afetado e informações de versão: Pacote Packagist mantisbt/ mantisbt — ECOSISTEM: introduzido 1.3.0, corrigido 2.28.4. Classificação e evidência: identificadores de fraqueza CWE- 95. O registro contém 4 suporte de referências nestes tipos: WEB, PACKAGE.