Debian DLA-3117-1：mediawiki - LTS 安全性更新

medium Nessus Plugin ID 165431

語系：

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 10 主機上安裝的多個套件受到 dla-3117 公告中提及的多個弱點影響。

- 在 1.35.6 之前版本、 1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現一個問題。具有 editinterface 權限的使用者可觸發無限遞回，這是因為主頁面訊息的 bare local interwiki 處理不當。(CVE-2022-28201)

- 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現 XSS 問題。
訊息的 widthheight、widthheightpage 和 nbytes 屬性在 gallery 或 Special: RevisionDelete 中使用時未被逸出。(CVE-2022-28202)

- 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現拒絕服務問題。當存在許多檔案時，要求以執行者為條件的 Special:NewFiles 可導致執行很長時間的查詢。(CVE-2022-28203)

- 在 1.35.7 之前版本、1.36.x 版、1.37.x 至 1.37.3 版以及 1.38.x 至 1.38.1 版的 MediaWiki 中發現一個問題。在允許使用者名稱中有 JavaScript 承載的組態中可能發生 XSS。建立帳戶後，將頁面標題設定為「歡迎後接使用者名稱」時，使用者名稱不會逸出：
SpecialCreateAccount: : successfulAction() calls : : showSuccessPage() with a message as second parameter, and OutputPage: : setPageTitle() uses text()。(CVE-2022-34911)

- 在 1.37.3 之前版本以及 1.38.x 至 1.38.1 版的 MediaWiki 中發現一個問題。Special: Contributions 上使用的 contributions-title 未經逸出就用作頁面標題。因此，在使用者名稱包含 HTML 實體的非預設組態中，不會將其逸出。(CVE-2022-34912)

- Mediawiki 報告： (T292763、CVE-2021-44854) REST API 錯誤地從私人 wiki 公開快取自動完成搜尋結果。(T271037、CVE-2021-44856) AbuseFilter 中封鎖的標題可透過 Special: ChangeContentModel 建立。(T297322、CVE-2021-44857) 未經授權的使用者可使用 action=mcrundo 取代任意頁面的內容。(T297322、CVE-2021-44858) 未經授權的使用者可使用多種動作檢視私人 wiki 的內容。(T297574、CVE-2021-45038) 未經授權的使用者可使用復原動作存取私人 wiki 內容。(T293589、CVE-2021-44855) VisualEditor 媒體對話方塊中的儲存式 XSS 盲注弱點。(T294686) Special: Nuke 實際上並未刪除頁面。(CVE-2021-44856)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。