遠端 Debian 11/12 主機上安裝的多個套件受到 dsa-5447 公告中提及的多個弱點影響。

  - 在 1.35.10 之前版本、1.36.x 至 1.38.x 版 (不超過 1.38.6 版) 以及 1.39.3 之前的 1.39.x 版的 MediaWiki 中發現一個問題。未受信任的 X-Forwarded-For 標頭可能會發生自動封鎖。(CVE-2023-29141)

  - 在 1.35.11 之前版本、1.36.x 至 1.38.x 版 (不超過 1.38.7 版) 以及 1.39.4 之前的 1.39.x 版的 MediaWiki 中發現一個問題。BlockLogFormatter 中的 BlockLogFormatter.php 允許在部分區塊功能中使用 XSS。
    (CVE-2023-36675)

  - Mediawiki 報告： (T335203、CVE-2023-29197) 將 guzzlehttp/psr7 升級至 >= 1.9.1/2.4.5。(T335612、CVE-2023-36674)Manualthumb 繞過 badFile 查閱。 (T332889、CVE-2023-36675) 在 BlockLogFormatter 中存在 XSS 弱點，這是因為使用不安全的訊息所致。(CVE-2023-36674)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-5447-1：mediawiki - 安全性更新

critical Nessus Plugin ID 178014

版本 1.0