Практическая защитная проверка MantisBT по ghsa-3v2j-6fw9-f57c: применимость, обратимый тест границы «единый permission check unreleased product version в REST, SOAP и web update», измеримый результат и stop-rule без production-данных.
Применимость к MantisBT
До теста зафиксируйте provenance компонента: digest, способ установки, runtime-версию и активную ветвь конфигурации. Для границы «единый permission check unreleased product version в REST, SOAP и web update» запишите версию живого процесса, build digest, источник пакета, включённую функцию и субъект, который вызывает этот путь. Reviewed Advisory перечисляет границы «mantisbt/mantisbt <= 2.28.3; first patched 2.28.4», однако запись в manifest ещё не доказывает установленную версию и reachability. Если provenance неполон, оставьте статус unknown. Not-applicable допустим только при доказанной версии вне affected range или документированно выключенной функции. Не переносите severity из advisory на свою среду без этих двух доказательств.
Что подтверждает GHSA-3v2j-6fw9-f57c
GitHub Reviewed Advisory опубликована 2026-07-15, обновлена 2026-07-15 и описывает для MantisBT механизм: MantisBT: REST and SOAP API Issue Update Accepts Unreleased Product Versions From Updaters. Подтверждённая package boundary: «mantisbt/mantisbt <= 2.28.3; first patched 2.28.4». Upstream-репозиторий https://github.com/mantisbt/mantisbt связывает запись с исходным проектом, но сам по себе не сообщает состояние конкретного развёртывания. Даты, summary и диапазоны взяты с прямой advisory-страницы https://github.com/advisories/GHSA-3v2j-6fw9-f57c, а не из поискового сниппета. Эти источники не доказывают эксплуатацию, ущерб, популярность запроса, индексацию или позицию страницы.
Отдельная пользовательская боль и доказательство
Здесь проверяется ровно одна боль: updater ниже заданного threshold может назначить ещё не выпущенную версию через API, минуя правило интерфейса. До любого запуска создайте артефакт «матрица channel / role / version-state / policy-result / stored-version» и заранее определите допустимые значения каждой колонки. Normal-control должен пройти на той же сборке, с теми же лимитами и через тот же кодовый путь. Один status code, исключение или отсутствие записи не является доказательством: нужны expected result, observed result, конфигурационная ветвь и cleanup. Маркеры не должны содержать токены, IP, реальные имена, документы, логи или внутренние адреса.
Безопасный обратимый тест
Подготовьте локальный issue, released и unreleased dummy versions, updater и manager role без интеграций. Затем нужно выполнить update через test handlers для двух version states и ролей, затем сравнить policy и stored value. Заранее заданный защитный исход: released version следует обычной роли, unreleased отклоняется ниже threshold одинаково во всех каналах. Выполняйте опыт только локально или в одноразовой среде с пределами wall-time, CPU, памяти, файлов, сокетов и количества запросов. Не используйте production secrets, пользовательские данные, внешние цели или инструкции, пригодные для вторжения. Все markers остаются синтетическими, поэтому результат можно передать поддержке без пользовательского содержимого. После проверки удалите fixtures, повторите normal-control и сравните итоговый digest с baseline.
Решение по наблюдаемым результатам
Passed фиксируется, когда одновременно выполнено: released version следует обычной роли, unreleased отклоняется ниже threshold одинаково во всех каналах; normal-control сохранил ожидаемое поведение; cleanup вернул исходное состояние. Failed требует повторяемого расхождения на том же fixture и той же версии. Unknown остаётся при нестабильном trace, неполном provenance или неясной конфигурации. Результат оформляют как «матрица channel / role / version-state / policy-result / stored-version», чтобы другой инженер мог проверить вывод без догадок. Не расширяйте вывод с одной границы на всю систему и не обещайте абсолютную защищённость после одного опыта.
Стоп-правило, обновление и пакет поддержки
Критерий остановки задаётся до запуска: откатить fixture и остановиться при сохранении unreleased version от updater ниже threshold. Если runtime входит в affected range, получите обновление только из доверенного канала upstream https://github.com/mantisbt/mantisbt, зафиксируйте новый digest и повторите тот же fixture с прежними лимитами. Новый сценарий не подтверждает исправление старого. В обезличенный пакет поддержки включите runtime version, package boundary, конфигурационную ветвь, expected/observed, resource limits, timestamps, error class и хэши fixtures. Исключите credentials, cookies, абсолютные пути, внутренние hostname и содержимое данных.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт, privacy-ограничения и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-3v2j-6fw9-f57c проверено 2026-08-31
- Upstream-репозиторий MantisBT проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.