Fedora 20 : mediawiki-1.21.3-1.fc20 (2013-22047)

medium Nessus Plugin ID 71407

語系：

概要

遠端 Fedora 主機遺漏安全性更新。

說明

- Kevin Israel (Wikipedia 使用者 PleaseStand) 發現並報告了兩個向量，用於在繞過 MediaWiki 黑名單的 CSS 中插入 JavaScript (CVE-2013-4567、 CVE-2013-4568)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=55332>

- 除錯網站問題時進行的內部檢閱發現，在自動建立使用者時，MediaWiki 和 CentralNotice 延伸模組錯誤設定快取標頭，從而造成系統快取使用者的工作階段 Cookie，並傳回給其他使用者 (CVE-2013-4572)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=53032>

此外，下列延伸模組已更新，修正了安全性問題：

- CleanChanges：MediaWiki Steward Teles 報告，使用此延伸模組時，修訂版所刪除的 IP 沒有正確隱藏 (CVE-2013-4569)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=54294>

- ZeroRatedMobileAccess：Tomasz Chlebowski 報告了一個 XSS 弱點 (CVE-2013-4573)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=55991>

- CentralAuth：MediaWiki 開發人員 Platonides 報告 CentralAuth 中存在登入 CSRF (CVE-2012-5394)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=40747>

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。