CVE-2026-33548Mantis Bug Tracker (MantisBT) 2.28.0版本存在存储型跨站脚本（XSS）漏洞。该漏洞源于Timeline（时间轴）页面在展示历史标签名称时，未对检索到的数据进行适当的转义处理。攻击者可利用此漏洞，在显示已重命名或删除的标签时注入恶意HTML代码。若内容安全策略（CSP）设置允许，攻击者可进一步执行任意JavaScript代码，从而窃取用户凭证或执行恶意操作。该漏洞在2.28.1版本中已修复。
该漏洞位于MantisBT的`IssueTagTimelineEvent::html()`方法中。当系统从数据库检索标签历史记录并在时间轴（my_view_page.php）上渲染时，未对`$this->tag_name`变量进行HTML实体编码。攻击者可以创建一个包含XSS载荷的标签（如`<script>alert(1)</script>`），将其关联到Issue，随后重命名或删除该标签。此时，旧的标签名称会作为历史记录被保存。当其他用户访问包含该历史记录的时间轴页面时，恶意脚本将在未经过滤的情况下直接输出到HTML中并在浏览器端执行。由于CVSS向量包含S:C（范围改变），此漏洞可能导致用户会话被劫持或执行其他客户端攻击。