Several problems have been discovered in MediaWiki, a website engine for collaborative work.

  - CVE-2011-1578 CVE-2011-1587     Masato Kinugawa discovered a cross-site scripting (XSS)     issue, which affects Internet Explorer clients only, and     only version 6 and earlier. Web server configuration     changes are required to fix this issue. Upgrading     MediaWiki will only be sufficient for people who use     Apache with AllowOverride enabled.

  For details of the required configuration changes, see the upstream   announcements.

  - CVE-2011-1579     Wikipedia user Suffusion of Yellow discovered a CSS     validation error in the wikitext parser. This is an XSS     issue for Internet Explorer clients, and a privacy loss     issue for other clients since it allows the embedding of     arbitrary remote images.

  - CVE-2011-1580     MediaWiki developer Happy-Melon discovered that the     transwiki import feature neglected to perform access     control checks on form submission. The transwiki import     feature is disabled by default. If it is enabled, it     allows wiki pages to be copied from a remote wiki listed     in $wgImportSources. The issue means that any user can     trigger such an import to occur.

  - CVE-2011-4360     Alexandre Emsenhuber discovered an issue where page     titles on private wikis could be exposed bypassing     different page ids to index.php. In the case of the user     not having correct permissions, they will now be     redirected to Special:BadTitle.

  - CVE-2011-4361     Tim Starling discovered that action=ajax requests were     dispatched to the relevant function without any read     permission checks being done. This could have led to     data leakage on private wikis.

A cross-site scripting vulnerability exists in this installation of MediaWiki that allows an attacker to execute arbitrary script code in the browser of an unsuspecting user. Such script code could steal authentication credentials and be used to launch other attacks.

協力作業のための Website エンジンである MediaWiki で、複数の問題が発見されています。

- CVE-2011-1578 CVE-2011-1587 Masato Kinugawa 氏は、Internet Explorer クライアントのバージョン 6 およびそれ以前のみに影響を与えるクロスサイトスクリプティング（XSS）の問題を発見しました。この問題を修正するには、Web サーバー構成の変更が必要です。MediaWiki をアップグレードすることのみが、AllowOverride を有効化した Apache を使用するユーザーに対する十分な措置となります。

必須の構成の変更の詳細については、upstream の報告を参照してください。

- CVE-2011-1579 Wikipedia ユーザーの Suffusion of Yellow は、Wikitext パーサーにおいて CSS 検証エラーを発見しました。これは、Inetnet Explorer クライアントの XSS 問題です。また、任意のリモート画像の組み込みを許可しているため、その他のクライアントのプライバシー損失問題でもあります。

- CVE-2011-1580 MediaWiki の開発者である Happy-Melon は、transwiki インポート機能がフォーム送信でアクセスコントロールチェックを無視していたことを発見しました。transwiki インポート機能はデフォルトでは無効になっています。これが有効化されていると、wiki ページが $wgImportSources でリストされているリモート wiki からコピーできるようになります。この問題は、すべてのユーザーがこのようインポートを発生させる可能性があることを意味しています。

- CVE-2011-4360 Alexandre Emsenhuber 氏は、プライベート wiki のページタイトルが危険にさらされ、異なるページの id を index.php にバイパスしていた可能性があります。ユーザーに適切な権限が設定されていない場合、これらのユーザーは Special:BadTitle にリダイレクトされるようになりました。

- CVE-2011-4361 Tim Starling 氏は、action=ajax リクエストが、読み込み権限チェックが行われずに、関連した機能に送信されていました。これにより、プライベート wiki でデータ漏洩が発生していた可能性があります。

この MediaWiki のインストールに、クロスサイトスクリプティングの脆弱性が存在します。これにより、攻撃者が、疑いを持たないユーザーのブラウザで任意のスクリプトコードを実行する可能性があります。そのようなスクリプトコードは、認証情報を盗み、他の攻撃を仕掛けるために使用されることがあります。

在　MediaWiki　(適用於共同作業的網站引擎) 中發現數個問題。

- CVE-2011-1578 CVE-2011-1587 Masato Kinugawa 發現一個跨網站指令碼 (XSS) 問題，此問題僅會影響 6 版及更舊版本的 Internet Explorer 用戶端。必須變更 Web 伺服器組態，才可修正此問題。升級 MediaWiki 將僅足以適用在啟用 AllowOverride 之情況下使用 Apache 的人士。

如需必要組態變更的詳細資訊，請參閱上游公告。

- CVE-2011-1579 Wikipedia 使用者 Suffusion of Yellow 在 wikitext 剖析器中發現一個 CSS 驗證錯誤。由於其允許嵌入任意遠端影像，因此對 Internet Explorer 用戶端而言，這是一個 XSS 問題，而對其他用戶端而言，則是一個隱私權喪失問題。

- CVE-2011-1580 MediaWiki 開發人員 Happy-Melon 發現，transwiki 匯入功能未在提交表單時執行存取控制檢查。transwiki 匯入功能依預設為停用。若啟用該功能，則可允許從 $wgImportSources 中所列示的遠端 wiki 複製 wiki 頁面。此問題表示任何使用者皆可觸發此類匯入。

- CVE-2011-4360 Alexandre Emsenhuber 發現一個問題，其中私人 wiki 上的頁面標題可遭到洩漏，進而繞過 index.php 的不同頁面 ID。如果使用者沒有正確的權限，目前會將其重新導向至 Special:BadTitle。

- CVE-2011-4361 Tim Starling 發現，未經任何讀取權限檢查，而將 action=ajax 要求分派至相關函式。這可導致私人 wiki 上的資料洩漏。

此 MediaWiki 安裝中存在一個跨網站指令碼弱點，其允許攻擊者在不知情的使用者之瀏覽器中執行任意指令碼。此類指令碼可竊取驗證認證，並用於發動其他攻擊。

在用于协同工作的网站引擎 MediaWiki 中已发现多个问题。

- CVE-2011-1578 CVE-2011-1587 Masato Kinugawa 发现一个跨站脚本 (XSS) 问题，该问题仅影响 Internet Explorer 客户端且仅影响版本 6 及较早版本。修复此问题需要更改 Web 服务器配置。对于使用启用了 AllowOverride 的 Apache 的人员，仅升级 MediaWiki 足矣。

有关所需配置更改的详细信息，请参阅上游公告。

- CVE-2011-1579 Wikipedia 用户 Suffusion of Yellow 发现 wikitext 解析器中的一个 CSS 验证错误。这是 Internet Explorer 客户端的 XSS 问题以及其他客户端的隐私泄漏问题，因为它允许嵌入任意远程图像。

- CVE-2011-1580 MediaWiki 开发人员 Happy-Melon 发现 transwiki 导入功能忽略了在表单提交时执行访问控制检查。transwiki 导入功能默认情况下被禁用。如果该功能已启用，它允许从 $wgImportSources 中列出的远程 wiki 复制 wiki 页面。该问题意味着任何用户均可触发这类导入。

- CVE-2011-4360 Alexandre Emsenhuber 发现一个问题，绕过 index.php 的不同页面 id 可能会暴露私有 wiki 中的页面标题。如果用户没有正确的权限，他们现在将被重定向到 Special:BadTitle。

- CVE-2011-4361 Tim Starling 发现，action=ajax 请求被调度到相关函数而未进行任何读取权限检查。这可导致私有 wiki 上的数据泄漏。

此 MediaWiki 安装版本中存在跨站脚本漏洞，可导致攻击者能够在没有防备的用户的浏览器中执行任意脚本代码。这些脚本代码可窃取认证凭据，并且用于发动其他攻击。

ID	名稱	產品	系列	已發布	已更新	嚴重性
57506	Debian DSA-2366-1 : mediawiki - multiple vulnerabilities	Nessus	Debian Local Security Checks	2012/1/12	2021/1/11	medium
53449	MediaWiki API XSS	Nessus	CGI abuses : XSS	2011/4/15	2024/6/5	medium
57506	Debian DSA-2366-1：mediaqiki - 複数の脆弱性	Nessus	Debian Local Security Checks	2012/1/12	2021/1/11	medium
53449	MediaWiki API の XSS	Nessus	CGI abuses : XSS	2011/4/15	2024/6/5	medium
57506	Debian DSA-2366-1：mediawiki - 多個弱點	Nessus	Debian Local Security Checks	2012/1/12	2021/1/11	medium
53449	MediaWiki API XSS	Nessus	CGI abuses : XSS	2011/4/15	2024/6/5	medium
57506	Debian DSA-2366-1：mediawiki - 多种漏洞	Nessus	Debian Local Security Checks	2012/1/12	2021/1/11	medium
53449	MediaWiki API XSS	Nessus	CGI abuses : XSS	2011/4/15	2024/6/5	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium