Debian dla-4355mediawiki - 安全性更新

medium Nessus Plugin ID 272096

語言:

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4355 公告中所提及。

-------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4355-1 [email protected] https://www.debian.org/lts/security/Guilhem Moulin 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

套件 mediawiki 版本 1:1.35.13-1+deb11u5 CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656

在 mediawiki (適用於共同作業的網站引擎) 中發現多個安全性弱點其可導致資訊洩漏、拒絕服務或權限提升。

CVE-2025-11173

OATHAuth 延伸模組啟用 2FA 的重新驗證可在 Special:OATHManage 中提交表單來繞過。

CVE-2025-11261

mw.language.listToText 中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

CVE-2025-61635

ConfirmEdit 延伸模組ApiFancyCaptchaReload 中缺少速率限制。

CVE-2025-61638

Parsoid「data-」屬性的驗證繞過。

CVE-2025-61639

對建立項目隱藏的記錄項目可能會洩漏給公開的最近變更項目。

CVE-2025-61640

Special:RecentChangesLinked 中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

CVE-2025-61641

miser 模式下QueryAllPages API 的 DDoS 弱點。現在在該模式下會忽略 `maxsize` 值。

CVE-2025-61643

隱藏的最近變更可能會洩漏給公開 RCFeed。

CVE-2025-61646

當個別編輯者在單一頁面上進行連續修訂時公開關注清單/RecentChanges 頁面可能洩漏隱藏的使用者名稱而只有部分被標記為隱藏使用者名稱。

CVE-2025-61653

TextExtracts 延伸模組因為缺少讀取權限檢查導致擷取 API 動作端點中的資訊洩漏弱點。

CVE-2025-61655

VisualEditor 延伸模組「lastModifiedAt」系統訊息中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

CVE-2025-61656

VisualEditor 延伸模組從 `data-ve-attributes` 解開包裝的屬性缺少屬性驗證。

針對 Debian 11 Bullseye這些問題已在版本 1:1.35.13-1+deb11u5 中修正。

建議您升級 mediawiki 套件。

如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/mediawiki

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。