MediaWiki 1.16.5 was released to correct two security flaws :

The first issue is yet another recurrence of the Internet Explorer 6 XSS vulnerability that caused the release of 1.16.4. It was pointed out that there are dangerous extensions with more than four characters, so the regular expressions we introduced had to be updated to match longer extensions. (CVE-2011-1765)

The second issue allows unauthenticated users to gain additional rights, on wikis where $wgBlockDisablesLogin is enabled. By default, it is disabled. The issue occurs when a malicious user sends cookies which contain the user name and user ID of a 'victim' account. In certain circumstances, the rights of the victim are loaded and persist throughout the malicious request, allowing the malicious user to perform actions with the victim's rights. (CVE-2011-1766)

$wgBlockDisablesLogin is a feature which is sometimes used on private wikis to prevent users who have an account from logging in and viewing content on the wiki.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

MediaWiki 1.16.5 は、2 つのセキュリティの欠陥を修正するためにリリースされています：

最初の問題は、1.16.4 のリリースによって発生した Internet Explorer 6 XSS の脆弱性の再発です。4文字を超える危険な拡張子が存在するために、より長い拡張子に合致させるために、当社が導入している正規表現を更新する必要があることが指摘されました。（CVE-2011-1765）

第2の問題では、$wgBlockDisablesLoginが有効な場合、認証されていないユーザーがwikiで追加の権利を獲得できることです。デフォルトでは、これは無効になっています。この問題は、悪意あるユーザーが「被害者」のアカウントのユーザー名およびユーザー ID を含むクッキーを送信するときに発生します。特定の状況では、被害者の権利が読み込まれ、悪意あるリクエスト全体で使用され続けます。これにより、悪意あるユーザーが被害者の権利でアクションを実行することが可能です。（CVE-2011-1766）

$wgBlockDisablesLoginは、アカウントを持つユーザーがログインしてwikiのコンテンツを表示するのを防ぐために、プライベートwikiでときどき使用される機能です。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

MediaWiki 1.16.5 が次の 2 つのセキュリティ上の欠陥を修正するためにリリースされています。

最初の問題は、リリース 1.16.4 で発生していた Internet Explorer 6 の XSS 脆弱性の再発です。4 文字を超える危険な拡張子が存在するために、より長い拡張子に合致させるために、当社が導入している正規表現を更新する必要があることが指摘されました。(CVE-2011-1765)

第 2 の問題では、$wgBlockDisablesLogin が有効な場合、認証されていないユーザーが wiki で追加の権利を獲得できることです。デフォルトでは、これは無効になっています。この問題は、悪意あるユーザーが「被害者」のアカウントのユーザー名およびユーザー ID を含むクッキーを送信するときに発生します。特定の状況では、被害者の権利が読み込まれ、悪意あるリクエスト全体で使用され続けます。これにより、悪意あるユーザーが被害者の権利でアクションを実行することが可能です。(CVE-2011-1766)

$wgBlockDisablesLogin は、アカウントを持つユーザーがログインして wiki のコンテンツを表示するのを防ぐために、プライベート wiki でときどき使用される機能です。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

The remote host is affected by the vulnerability described in GLSA-201206-09 (MediaWiki: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in mediawiki. Please       review the CVE identifiers referenced below for details.
  Impact :

    MediaWiki allows remote attackers to bypass authentication, to perform       imports from any wgImportSources wiki via a crafted POST request, to       conduct cross-site scripting (XSS) attacks or obtain sensitive       information, to inject arbitrary web script or HTML, to conduct       clickjacking attacks, to execute arbitrary PHP code, to inject arbitrary       web script or HTML, to bypass intended access restrictions and to obtain       sensitive information.
  Workaround :

    There is no known workaround at this time.

已发行 MediaWiki 1.16.5 以修正两个安全缺陷：

第一个问题是导致发行 1.16.4 的 Internet Explorer 6 XSS 漏洞的再次发生。有人指出存在具有多于四个字符的危险扩展，因此必须更新我们引入的正则表达式，以匹配更长的扩展。(CVE-2011-1765)

第二个问题允许未经认证的用户在已启用 $wgBlockDisablesLogin 的 Wiki 上获得额外权限。默认情况下，它被禁用。当恶意用户发送包含“受害者”帐户的用户名和用户 ID 的 Cookie 时，会发生该问题。在某些情况下，会在恶意请求中加载受害者权限并且该权限持续存在，从而允许恶意用户使用受害者的权限执行操作。(CVE-2011-1766)

$wgBlockDisablesLogin 是一项功能，有时候在私有 Wiki 上使用该功能来防止拥有帐户的用户登录 Wiki 和查看 Wiki 上的内容。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

MediaWiki 1.16.5 已經發行，可更正兩個安全性瑕疵：

第一個問題同樣是重複出現的 Internet Explorer 6 XSS 弱點，該問題之前曾促使 1.16.4 的發行。據指稱，存在附帶四個字元以上的危險延伸模組，因此我們引入的規則運算式必須更新，才能符合較長的延伸模組。(CVE-2011-1765)

第二個問題允許未驗證的使用者在 $wgBlockDisablesLogin 啟用的 wiki 上取得額外權限。其根據預設為停用。此問題在惡意使用者傳送內含「受害」帳戶之使用者名稱和使用者 ID 的 Cookie 時發生。在某些情況下會載入受害者的權限，並在整個惡意要求的過程中持續，允許惡意使用者以受害者的權限執行動作。(CVE-2011-1766)

$wgBlockDisablesLogin 是私人 wiki 有時會使用的功能，能夠避免擁有帳戶的使用者登入並檢視 wiki 上的內容。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

リモートホストは、GLSA-201206-09 で説明されている脆弱性の影響を受けます（MediaWiki：複数の脆弱性）

Mediawiki に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

MediaWiki により、リモートの攻撃者が、認証のバイパス、細工された POST リクエストを通じたあらゆる wgImportSources wiki からのインポート、クロスサイトスクリプティング（XSS）攻撃または機密情報の取得、任意の Web スクリプトまたは HTML の注入、クリックジャッキング攻撃、任意の PHP コードの実行、任意の Web スクリプトまたは HTML の注入、意図されたアクセス制限のバイパス、および機密情報の取得を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

远程主机受到 GLSA-201206-09 中所述漏洞的影响（MediaWiki：多个漏洞）

    在 mediawiki 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    MediaWiki 允许远程攻击者绕过认证、通过构建的 POST 请求执行从任何 wgImportSources wiki 的导入、执行跨站脚本 (XSS) 攻击或获取敏感信息、注入任意 Web 脚本或 HTML、执行点击劫持攻击、执行任意 PHP 代码、注入任意 Web 脚本或 HTML、绕过预期访问限制以及获取敏感信息。
  变通方案：

    目前无任何已知的变通方案。

遠端主機受到 GLSA-201206-09 中所述的弱點影響 (MediaWiki：多個弱點)

    在 mediawiki 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    MediaWiki 允許遠端攻擊者繞過驗證；透過特製的 POST 要求從任何 wgImportSources wiki 執行匯入；發動跨網站指令碼 (XSS) 攻擊或取得敏感資訊；插入任意 Web 指令碼或 HTML；發動點擊劫持攻擊；執行任意 PHP 程式碼；插入任意 Web 指令碼或 HTML；繞過預定的存取限制並取得敏感資訊。
  因應措施：

    目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
54572	Fedora 15 : mediawiki-1.16.5-59.fc15 (2011-6781)	Nessus	Fedora Local Security Checks	2011/5/19	2021/1/11	medium
54608	Fedora 14 : mediawiki-1.16.5-59.fc14 (2011-6774)	Nessus	Fedora Local Security Checks	2011/5/23	2021/1/11	medium
54608	Fedora 14：mediawiki-1.16.5-59.fc14（2011-6774）	Nessus	Fedora Local Security Checks	2011/5/23	2021/1/11	medium
54572	Fedora 15：mediawiki-1.16.5-59.fc15（2011-6781）	Nessus	Fedora Local Security Checks	2011/5/19	2021/1/11	medium
59647	GLSA-201206-09 : MediaWiki: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2012/6/22	2021/1/6	high
54609	Fedora 13 : mediawiki-1.16.5-59.fc13 (2011-6775)	Nessus	Fedora Local Security Checks	2011/5/23	2021/1/11	medium
54608	Fedora 14：mediawiki-1.16.5-59.fc14 (2011-6774)	Nessus	Fedora Local Security Checks	2011/5/23	2021/1/11	medium
54608	Fedora 14 : mediawiki-1.16.5-59.fc14 (2011-6774)	Nessus	Fedora Local Security Checks	2011/5/23	2021/1/11	medium
54572	Fedora 15 : mediawiki-1.16.5-59.fc15 (2011-6781)	Nessus	Fedora Local Security Checks	2011/5/19	2021/1/11	medium
54572	Fedora 15：mediawiki-1.16.5-59.fc15 (2011-6781)	Nessus	Fedora Local Security Checks	2011/5/19	2021/1/11	medium
54609	Fedora 13：mediawiki-1.16.5-59.fc13（2011-6775）	Nessus	Fedora Local Security Checks	2011/5/23	2021/1/11	medium
59647	GLSA-201206-09：MediaWiki：複数の脆弱性	Nessus	Gentoo Local Security Checks	2012/6/22	2021/1/6	high
59647	GLSA-201206-09 : MediaWiki：多个漏洞	Nessus	Gentoo Local Security Checks	2012/6/22	2021/1/6	high
54609	Fedora 13：mediawiki-1.16.5-59.fc13 (2011-6775)	Nessus	Fedora Local Security Checks	2011/5/23	2021/1/11	medium
59647	GLSA-201206-09 : MediaWiki：多個弱點	Nessus	Gentoo Local Security Checks	2012/6/22	2021/1/6	high
54609	Fedora 13 : mediawiki-1.16.5-59.fc13 (2011-6775)	Nessus	Fedora Local Security Checks	2011/5/23	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

high

medium

medium

medium

medium

medium

medium

high

high

medium

high

medium