The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3117 advisory.

  - An issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x before 1.37.2. Users     with the editinterface permission can trigger infinite recursion, because a bare local interwiki is     mishandled for the mainpage message. (CVE-2022-28201)

  - An XSS issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x before 1.37.2.
    The widthheight, widthheightpage, and nbytes properties of messages are not escaped when used in galleries     or Special:RevisionDelete. (CVE-2022-28202)

  - A denial-of-service issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x     before 1.37.2. When many files exist, requesting Special:NewFiles with actor as a condition can result in     a very long running query. (CVE-2022-28203)

  - An issue was discovered in MediaWiki before 1.35.7, 1.36.x and 1.37.x before 1.37.3, and 1.38.x before     1.38.1. XSS can occur in configurations that allow a JavaScript payload in a username. After account     creation, when it sets the page title to Welcome followed by the username, the username is not escaped:
    SpecialCreateAccount::successfulAction() calls ::showSuccessPage() with a message as second parameter, and     OutputPage::setPageTitle() uses text(). (CVE-2022-34911)

  - An issue was discovered in MediaWiki before 1.37.3 and 1.38.x before 1.38.1. The contributions-title, used     on Special:Contributions, is used as page title without escaping. Hence, in a non-default configuration     where a username contains HTML entities, it won't be escaped. (CVE-2022-34912)

  - Mediawiki reports: (T292763. CVE-2021-44854) REST API incorrectly publicly caches             autocomplete     search results from private wikis. (T271037, CVE-2021-44856) Title blocked in AbuseFilter can be created     via             Special:ChangeContentModel. (T297322, CVE-2021-44857) Unauthorized users can use     action=mcrundo to             replace the content of arbitrary pages.  (T297322, CVE-2021-44858)     Unauthorized users can view contents of private             wikis using various actions. (T297574,     CVE-2021-45038) Unauthorized users can access private wiki             contents using rollback action     (T293589, CVE-2021-44855) Blind Stored XSS in VisualEditor media dialog. (T294686) Special:Nuke doesn't     actually delete pages. (CVE-2021-44856)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-5246 advisory.

  - An issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x before 1.37.2. Users     with the editinterface permission can trigger infinite recursion, because a bare local interwiki is     mishandled for the mainpage message. (CVE-2022-28201)

  - An XSS issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x before 1.37.2.
    The widthheight, widthheightpage, and nbytes properties of messages are not escaped when used in galleries     or Special:RevisionDelete. (CVE-2022-28202)

  - A denial-of-service issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x     before 1.37.2. When many files exist, requesting Special:NewFiles with actor as a condition can result in     a very long running query. (CVE-2022-28203)

  - Guzzle is a PHP HTTP client. Guzzle prior to versions 6.5.6 and 7.4.3 contains a vulnerability with the     cookie middleware. The vulnerability is that it is not checked if the cookie domain equals the domain of     the server which sets the cookie via the Set-Cookie header, allowing a malicious server to set cookies for     unrelated domains. The cookie middleware is disabled by default, so most library consumers will not be     affected by this issue. Only those who manually add the cookie middleware to the handler stack or     construct the client with ['cookies' => true] are affected. Moreover, those who do not use the same Guzzle     client to call multiple domains and have disabled redirect forwarding are not affected by this     vulnerability. Guzzle versions 6.5.6 and 7.4.3 contain a patch for this issue. As a workaround, turn off     the cookie middleware. (CVE-2022-29248)

  - Guzzle is an open source PHP HTTP client. In affected versions the `Cookie` headers on requests are     sensitive information. On making a request using the `https` scheme to a server which responds with a     redirect to a URI with the `http` scheme, or on making a request to a server which responds with a     redirect to a a URI to a different host, we should not forward the `Cookie` header on. Prior to this fix,     only cookies that were managed by our cookie middleware would be safely removed, and any `Cookie` header     manually added to the initial request would not be stripped. We now always strip it, and allow the cookie     middleware to re-add any cookies that it deems should be there. Affected Guzzle 7 users should upgrade to     Guzzle 7.4.4 as soon as possible. Affected users using any earlier series of Guzzle should upgrade to     Guzzle 6.5.7 or 7.4.4. Users unable to upgrade may consider an alternative approach to use your own     redirect middleware, rather than ours. If you do not require or expect redirects to be followed, one     should simply disable redirects all together. (CVE-2022-31042)

  - Guzzle is an open source PHP HTTP client. In affected versions `Authorization` headers on requests are     sensitive information. On making a request using the `https` scheme to a server which responds with a     redirect to a URI with the `http` scheme, we should not forward the `Authorization` header on. This is     much the same as to how we don't forward on the header if the host changes. Prior to this fix, `https` to     `http` downgrades did not result in the `Authorization` header being removed, only changes to the host.
    Affected Guzzle 7 users should upgrade to Guzzle 7.4.4 as soon as possible. Affected users using any     earlier series of Guzzle should upgrade to Guzzle 6.5.7 or 7.4.4. Users unable to upgrade may consider an     alternative approach which would be to use their own redirect middleware. Alternately users may simply     disable redirects all together if redirects are not expected or required. (CVE-2022-31043)

  - Guzzle, an extensible PHP HTTP client. `Authorization` headers on requests are sensitive information. In     affected versions when using our Curl handler, it is possible to use the `CURLOPT_HTTPAUTH` option to     specify an `Authorization` header. On making a request which responds with a redirect to a URI with a     different origin (change in host, scheme or port), if we choose to follow it, we should remove the     `CURLOPT_HTTPAUTH` option before continuing, stopping curl from appending the `Authorization` header to     the new request. Affected Guzzle 7 users should upgrade to Guzzle 7.4.5 as soon as possible. Affected     users using any earlier series of Guzzle should upgrade to Guzzle 6.5.8 or 7.4.5. Note that a partial fix     was implemented in Guzzle 7.4.2, where a change in host would trigger removal of the curl-added     Authorization header, however this earlier fix did not cover change in scheme or change in port. If you do     not require or expect redirects to be followed, one should simply disable redirects all together.
    Alternatively, one can specify to use the Guzzle steam handler backend, rather than curl. (CVE-2022-31090)

  - Guzzle, an extensible PHP HTTP client. `Authorization` and `Cookie` headers on requests are sensitive     information. In affected versions on making a request which responds with a redirect to a URI with a     different port, if we choose to follow it, we should remove the `Authorization` and `Cookie` headers from     the request, before containing. Previously, we would only consider a change in host or scheme. Affected     Guzzle 7 users should upgrade to Guzzle 7.4.5 as soon as possible. Affected users using any earlier series     of Guzzle should upgrade to Guzzle 6.5.8 or 7.4.5. Note that a partial fix was implemented in Guzzle     7.4.2, where a change in host would trigger removal of the curl-added Authorization header, however this     earlier fix did not cover change in scheme or change in port. An alternative approach would be to use your     own redirect middleware, rather than ours, if you are unable to upgrade. If you do not require or expect     redirects to be followed, one should simply disable redirects all together. (CVE-2022-31091)

  - An issue was discovered in MediaWiki before 1.35.7, 1.36.x and 1.37.x before 1.37.3, and 1.38.x before     1.38.1. XSS can occur in configurations that allow a JavaScript payload in a username. After account     creation, when it sets the page title to Welcome followed by the username, the username is not escaped:
    SpecialCreateAccount::successfulAction() calls ::showSuccessPage() with a message as second parameter, and     OutputPage::setPageTitle() uses text(). (CVE-2022-34911)

  - An issue was discovered in MediaWiki before 1.37.3 and 1.38.x before 1.38.1. The contributions-title, used     on Special:Contributions, is used as page title without escaping. Hence, in a non-default configuration     where a username contains HTML entities, it won't be escaped. (CVE-2022-34912)

  - Mediawiki reports: (T292763. CVE-2021-44854) REST API incorrectly publicly caches             autocomplete     search results from private wikis. (T271037, CVE-2021-44856) Title blocked in AbuseFilter can be created     via             Special:ChangeContentModel. (T297322, CVE-2021-44857) Unauthorized users can use     action=mcrundo to             replace the content of arbitrary pages.  (T297322, CVE-2021-44858)     Unauthorized users can view contents of private             wikis using various actions. (T297574,     CVE-2021-45038) Unauthorized users can access private wiki             contents using rollback action     (T293589, CVE-2021-44855) Blind Stored XSS in VisualEditor media dialog. (T294686) Special:Nuke doesn't     actually delete pages. (CVE-2021-44854, CVE-2021-44855, CVE-2021-44856)

  - Mediawiki reports: (T316304, CVE-2022-41767) SECURITY: reassignEdits doesn't update results             in     an IP range check on Special:Contributions.. (T309894, CVE-2022-41765) SECURITY: HTMLUserTextField exposes     existence             of hidden users.  (T307278, CVE-2022-41766) SECURITY: On action=rollback the message     alreadyrolled can leak revision deleted user name. (CVE-2022-41765, CVE-2022-41767)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 79ea6066-b40e-11ec-8b93-080027b24e86 advisory.

  - An XSS issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x before 1.37.2.
    The widthheight, widthheightpage, and nbytes properties of messages are not escaped when used in galleries     or Special:RevisionDelete. (CVE-2022-28202)

  - An issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x before 1.37.2. Users     with the editinterface permission can trigger infinite recursion, because a bare local interwiki is     mishandled for the mainpage message. (CVE-2022-28201)

  - A denial-of-service issue was discovered in MediaWiki before 1.35.6, 1.36.x before 1.36.4, and 1.37.x     before 1.37.2. When many files exist, requesting Special:NewFiles with actor as a condition can result in     a very long running query. (CVE-2022-28203)

  - A denial-of-service issue was discovered in MediaWiki 1.37.x before 1.37.2. Rendering of     w/index.php?title=Special%3AWhatLinksHere&target=Property%3AP31&namespace=1&invert=1 can take more than     thirty seconds. There is a DDoS risk. (CVE-2022-28204)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 11 ホストには、dsa-5246 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.35.6 より前、1.36.4 より前の 1.36.x、および 1.37.2 より前の 1.37.x の MediaWiki で問題が見つかりました。むき出しのローカルインターウィキがメインページメッセージに対して不適切に処理されるため、editinterface 権限を持つユーザーが無限再帰をトリガーする可能性があります。(CVE-2022-28201)

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki で XSS の問題が見つかりました。
    メッセージの widthheight、widthheightpage、および nbytes のプロパティは、ギャラリーまたは Special: RevisionDelete で使用されている場合、エスケープされません。(CVE-2022-28202)

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki でサービス拒否の問題が見つかりました。多数のファイルが存在する場合、アクターを条件とする Special: NewFiles のリクエストにより、クエリの実行に非常に長い時間がかかる可能性があります。(CVE-2022-28203)

  - Guzzle は、PHP の HTTP クライアントです。バージョン 6.5.6 および 7.4.3 より前の Guzzle には、Cookie ミドルウェアの脆弱性が含まれています。この脆弱性は、Cookie ドメインと Set-Cookie ヘッダーで Cookie を設定するサーバーのドメインが等しいかどうかをチェックしません。これにより、悪意のあるサーバーが無関係なドメインに Cookie を設定する可能性があります。Cookie ミドルウェアはデフォルトで無効になっているため、ほとんどのライブラリコンシューマーはこの問題の影響を受けません。手動で Cookie ミドルウェアをハンドラスタックに追加するか、['cookies' => true] でクライアントを構築した場合のみ、影響を受けます。また、複数のドメインを呼び出すために同じ Guzzle クライアントを使用せず、リダイレクト転送を無効にしている場合は、この脆弱性の影響を受けません。Guzzle バージョン 6.5.6 および 7.4.3 には、この問題に対するパッチが含まれています。回避策として、Cookie ミドルウェアをオフにしてください。(CVE-2022-29248)

  - Guzzle は、オープンソースの PHP HTTP クライアントです。影響を受けるバージョンでは、リクエストの「Cookie」ヘッダーは機密情報です。「http」スキームのある URI へのリダイレクトで応答するサーバーに対して「https」スキームを使用するリクエストを行うか、別のホストへの URI へのリダイレクトで応答するサーバーへリクエストを行う場合、 「Cookie」ヘッダーを転送しないでください。この修正の前は、Cookie ミドルウェアによって管理されている Cookie のみが安全に削除され、初期リクエストに手動で追加された「Cookie」ヘッダーは削除されませんでした。現在は常にそれを取り除き、Cookie ミドルウェアがそこにあると判断する Cookie を再追加できるようにしています。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.4にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.7または 7.4.4にアップグレードする必要があります。アップグレードできないユーザーは、弊社ではなく独自のリダイレクトミドルウェアを使用する代替アプローチを検討する可能性があります。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。(CVE-2022-31042)

  - Guzzle は、オープンソースの PHP HTTP クライアントです。影響を受けるバージョンでは、リクエストの「Authorization」ヘッダーは機密情報です。「http」スキームのある URI へのリダイレクトで応答するサーバーに対して「https」スキームを使用するリクエストを行う場合、「Authorization」ヘッダーを転送しないでください。これは、ホストが変更された場合にヘッダーで転送しない方法とほとんど同じです。この修正の前は、「https」から「http」へのダウングレードをすると、「Authorization」ヘッダーが削除されず、ホストに対する変更のみが行われていました。
    影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.4にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.7または 7.4.4にアップグレードする必要があります。アップグレードできないユーザーは、独自のリダイレクトミドルウェアを使用する代替アプローチを検討することができます。リダイレクトが予期されない、または必要とされない場合、ユーザーはリダイレクトをまとめて無効にすることができます。(CVE-2022-31043)

  - 拡張可能な PHP HTTP クライアント、Guzzle。リクエストの「Authorization」ヘッダーは機密情報です。影響を受けるバージョンでは、Curl ハンドラーを使用する際に、「CURLOPT_HTTPAUTH」オプションを使用して「Authorization」ヘッダーを指定する可能性があります。異なる生成元 (ホスト、スキーム、ポートの変更) の URI へのリダイレクトで応答するリクエストを作成する際に、それに従うことを選択した場合、続行する前に「CURLOPT_HTTPAUTH」オプションを削除し、curl が新しいリクエストに「Authorization」ヘッダーを追加しないようにする必要があります。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.5 にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.8 または 7.4.5 にアップグレードする必要があります。注意: 部分的な修正が Guzzle 7.4.2 で実装されました。ホストの変更により、curl が追加した Authorization ヘッダーの削除がトリガーされますが、この以前の修正はスキームの変更やポートの変更をカバーしていませんでした。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。
    あるいは、curl ではなく Guzzle スチームハンドラーバックエンドを使用するように指定できます。(CVE-2022-31090)

  - 拡張可能な PHP HTTP クライアント、Guzzle。リクエストの「Authorization」および「Cookie」ヘッダーは機密情報です。影響を受けるバージョンでは、異なるポートの URI へのリダイレクトで応答するリクエストを行う際に、フォローすることを選択した場合、含める前にリクエストから「Authorization」ヘッダーと「Cookie」ヘッダーを削除する必要があります。以前は、ホストまたはスキームの変更のみを考慮していました。影響を受ける Guzzle 7 ユーザーは、できるだけ早く Guzzle 7.4.5 にアップグレードする必要があります。以前のシリーズの Guzzle を使用している影響を受けるユーザーは、Guzzle 6.5.8 または 7.4.5 にアップグレードする必要があります。注意: 部分的な修正が Guzzle 7.4.2 で実装されています。ホストの変更により、curl が追加した承認ヘッダーの削除がトリガーされますが、この以前の修正はスキームの変更やポートの変更をカバーしていませんでした。アップグレードできない場合は、代替アプローチとして、弊社ではなく独自のリダイレクトミドルウェアを使用する方法もあります。リダイレクトに従う必要がない、または期待しない場合は、リダイレクトをすべて一緒に無効にしてください。(CVE-2022-31091)

  - 1.35.7 より前、1.37.3 より前の 1.36.x と 1.37.x、および 1.38.1 より前の 1.38.x の MediaWiki で問題が見つかりました。XSS は、JavaScript ペイロードをユーザー名に許可する構成で発生する可能性があります。アカウント作成後、ページタイトルを「ようこそ」に設定し、その後にユーザー名を設定すると、ユーザー名がエスケープされません。
    SpecialCreateAccount: : successfulAction() の呼び出し: : 2 番目のパラメーターとしてのメッセージを含む showSuccessPage()、および OutputPage: : setPageTitle() は text() を使用します。(CVE-2022-34911)

  - 1.37.3より前、1.38.1 より前の 1.38.xの MediaWiki で問題が見つかりました。Special: Contributions で使用される contributions-title は、エスケープせずにページタイトルとして使用されます。したがって、ユーザー名に HTML エンティティが含まれるデフォルト以外の構成では、エスケープされません。(CVE-2022-34912)

  - MediaWiki による報告:  (T292763。CVE-2021-44854) REST API が、プライベート wiki からのオートコンプリート検索結果を不適切にパブリックにキャッシュします。(T271037、CVE-2021-44856) AbuseFilter でブロックされるタイトルは、Special:  ChangeContentModelを介して作成できます。(T297322、CVE-2021-44857) 権限のないユーザーが action=mcrundo を使用して、任意のページのコンテンツを置き換える可能性があります。(T297322、CVE-2021-44858) 権限のないユーザーが、さまざまなアクションを使用してプライベート wiki のコンテンツを表示できます。(T297574、CVE-2021-45038) 権限のないユーザーがロールバックアクションを使用してプライベートな wiki コンテンツにアクセスできます (T293589、CVE-2021-44855) VisualEditor メディアダイアログのブラインド蓄積型 XSS。(T294686) Special: Nuke は実際にはページを削除しません。(CVE-2021-44854、CVE-2021-44855、CVE-2021-44856)

  - MediaWiki による報告:  (T316304、CVE-2022-41767) セキュリティ: reassignEdits が Special: Contributions の IP 範囲チェックの結果を更新しません。(T309894、CVE-2022-41765) セキュリティ: HTMLUserTextField は、非表示のユーザーの存在を漏洩します。(T307278、CVE-2022-41766) セキュリティ:action=rollback で、すでにロールされたメッセージから、削除済みユーザー名の改訂版が漏洩する可能性があります。(CVE-2022-41765、CVE-2022-41767)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3117 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki で問題が見つかりました。むき出しのローカルインターウィキがメインページメッセージに対して不適切に処理されるため、editinterface 権限を持つユーザーが無限再帰をトリガーする可能性があります。(CVE-2022-28201)

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki で XSS の問題が見つかりました。
    メッセージの widthheight、widthheightpage、および nbytes のプロパティは、ギャラリーまたは Special: RevisionDelete で使用されている場合、エスケープされません。(CVE-2022-28202)

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki でサービス拒否の問題が見つかりました。多数のファイルが存在する場合、アクターを条件とする Special: NewFiles のリクエストにより、クエリの実行に非常に長い時間がかかる可能性があります。(CVE-2022-28203)

  - 1.35.7より前、1.37.3 より前の 1.36.x と 1.37.x、および 1.38.1 より前の 1.38.x の MediaWiki で問題が見つかりました。XSS は、JavaScript ペイロードをユーザー名に許可する構成で発生する可能性があります。アカウント作成後、ページタイトルを「ようこそ」に設定し、その後にユーザー名を設定すると、ユーザー名がエスケープされません。
    SpecialCreateAccount: : successfulAction() の呼び出し: : 2 番目のパラメーターとしてのメッセージを含む showSuccessPage()、および OutputPage: : setPageTitle() は text() を使用します。(CVE-2022-34911)

  - 1.37.3より前、1.38.1 より前の 1.38.xの MediaWiki で問題が見つかりました。Special: Contributions で使用される contributions-title は、エスケープせずにページタイトルとして使用されます。したがって、ユーザー名に HTML エンティティが含まれるデフォルト以外の構成では、エスケープされません。(CVE-2022-34912)

  - MediaWiki による報告:  (T292763。CVE-2021-44854) REST API が、プライベート wiki からのオートコンプリート検索結果を不適切にパブリックにキャッシュします。(T271037、CVE-2021-44856) AbuseFilter でブロックされるタイトルは、Special:  ChangeContentModelを介して作成できます。(T297322、CVE-2021-44857) 権限のないユーザーが action=mcrundo を使用して、任意のページのコンテンツを置き換える可能性があります。(T297322、CVE-2021-44858) 権限のないユーザーが、さまざまなアクションを使用してプライベート wiki のコンテンツを表示できます。(T297574、CVE-2021-45038) 権限のないユーザーがロールバックアクションを使用してプライベートな wiki コンテンツにアクセスできます (T293589、CVE-2021-44855) VisualEditor メディアダイアログのブラインド蓄積型 XSS。(T294686) Special: Nuke は実際にはページを削除しません。(CVE-2021-44856)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、79ea6066-b40e-11ec-8b93-080027b24e86のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki で XSS の問題が見つかりました。
    メッセージの widthheight、widthheightpage、および nbytes のプロパティは、ギャラリーまたは Special: RevisionDelete で使用されている場合、エスケープされません。(CVE-2022-28202)

  - 1.35.6 より前、1.36.4 より前の 1.36.x、および 1.37.2 より前の 1.37.x の MediaWiki で問題が見つかりました。むき出しのローカルインターウィキがメインページメッセージに対して不適切に処理されるため、editinterface アクセス許可を持つユーザーが無限再帰をトリガーする可能性があります。(CVE-2022-28201)

  - 1.35.6より前、1.36.4 より前の 1.36.x、および 1.37.2より前の 1.37.xの MediaWiki でサービス拒否の問題が見つかりました。多数のファイルが存在する場合、アクターを条件とする Special: NewFiles のリクエストにより、クエリの実行に非常に長い時間がかかる可能性があります。(CVE-2022-28203)

  - 1.37.2 より前の MediaWiki 1.37.x でサービス拒否の問題が見つかりました。w/index.php?title=Special%3AWhatLinksHere&target=Property%3AP31&namespace=1&invert=1 のレンダリングには、30 秒以上かかることがあります。DDoS のリスクがあります。(CVE-2022-28204)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Debian 11 主機上安裝的套件受 dsa-5246 公告中提及的多個弱點影響。

  - 在 1.35.6 之前版本、 1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現一個問題。具有 editinterface 權限的使用者可觸發無限遞回，這是因為主頁面訊息的 bare local interwiki 處理不當。(CVE-2022-28201)

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現 XSS 問題。
    訊息的 widthheight、widthheightpage 和 nbytes 屬性在 gallery 或 Special: RevisionDelete 中使用時未被逸出 。(CVE-2022-28202)

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現拒絕服務問題。當存在許多檔案時，要求以執行者為條件的 Special:NewFiles 可導致執行很長時間的查詢。(CVE-2022-28203)

  - Guzzle 是一個 PHP HTTP 用戶端。Guzzle 6.5.6 和 7.4.3 之前版本中有一個 cookie 中介軟體弱點。這個弱點出現的原因是，未檢查 cookie 網域是否與透過 Set-Cookie 標頭設定 cookie 的伺服器網域相同，進而允許惡意伺服器為不相關的網域設定 cookie 所致。Cookie 中介軟體預設為停用，因此大多數程式庫使用者不會受到此問題影響。只有手動將 cookie 中介軟體新增至處置程式堆疊或使用 ['cookies' => true] 建構用戶端的使用者會受到影響。此外，不使用相同 Guzzle 用戶端呼叫多個網域且已停用重新導向轉送的使用者則不受此弱點影響。Guzzle 6.5.6 和 7.4.3 版本包含針對此問題的修補程式。可以採取的因應措施是，關閉 Cookie 中介軟體。(CVE-2022-29248)

  - Guzzle 是一個開放原始碼的 PHP HTTP 用戶端。在受影響的版本中，要求的「Cookie」標頭是敏感資訊。當使用「https」配置向伺服器提出要求時，若伺服器以重新導向至包含「http」配置的 URI 作爲回應，或在向伺服器提出要求時，若伺服器以重新導向至其他主機的 URI 作爲回應，則我們不應轉送「Cookie」標頭。在此修正之前，系統只會安全移除由我們的 cookie 中介軟體管理的 cookie，而不會去除手動新增至初始要求的任何「Cookie」標頭。我們現在一律將其去除，並允許 cookie 中介軟體重新新增它認為應該存在的任何 cookie。受影響的 Guzzle 7 使用者應盡快升級至 Guzzle 7.4.4 。使用任何舊版 Guzzle 的受影響使用者應升級至 Guzzle 6.5.7 或 7.4.4。無法升級的使用者可考慮使用您自己的重新導向中介軟體，而非我們的方法。如果您不要求或期望遵循重新導向，則應該一起停用所有重新導向。(CVE-2022-31042)

  - Guzzle 是一個開放原始碼的 PHP HTTP 用戶端。在受影響的版本中，要求的「Authorization」標頭是敏感資訊。當使用「https」配置向伺服器提出要求時，若伺服器以重新導向至包含「http」配置的 URI 作爲回應，則我們不應轉送「Authorization」標頭。這與我們在主機變更時不轉送標頭的方式大致相同。在此修正之前，「https」降級為「http」不會導致「Authorization」標頭遭移除，只會導致主機發生變更。
    受影響的 Guzzle 7 使用者應盡快升級至 Guzzle 7.4.4 。使用任何舊版 Guzzle 的受影響使用者應升級至 Guzzle 6.5.7 或 7.4.4。無法升級的使用者可考慮使用自己的重新導向中介軟體，或者如果不打算使用或不需要重新導向，使用者可以一起停用所有重新導向。(CVE-2022-31043)

  - Guzzle 是一個可延伸的 PHP HTTP 用戶端。要求上的「Authorization」標頭是敏感資訊。在受影響的版本中，當使用我們的 Curl 處理常式時，可以使用「CURLOPT_HTTPAUTH」選項來指定「Authorization」標頭。在提出以重新導向至具有不同來源 (主機、配置或連接埠變更) 的 URI 作爲回應的要求時，如果我們選擇遵循，則應該在繼續之前移除「CURLOPT_HTTPAUTH」選項，阻止 curl 向新要求附加「Authorization」標頭。受影響的 Guzzle 7 使用者應盡快升級至 Guzzle 7.4.5 。使用任何舊版 Guzzle 的受影響使用者應升級至 Guzzle 6.5.8 或 7.4.5。請注意，目前已在 Guzzle 7.4.2 中實作部分修正，其中主機變更會觸發系統移除 curl 新增的 Authorization 標頭，但是早期的這一修正並未涵蓋配置變更或連接埠變更。如果您不要求或期望遵循重新導向，則應該一起停用所有重新導向。
    或者，您可以指定使用 Guzzle Steam 處理常式後端，而不是 curl。(CVE-2022-31090)

  - Guzzle 是一個可延伸的 PHP HTTP 用戶端。要求上的「Cookie」標頭是敏感資訊。在受影響版本中，當提出以重新導向至具有不同連接埠的 URI 作爲回應的要求時，如果我們選擇遵循，則應該在繼續之前移除要求中的「Authorization」和「Cookie」標頭。之前，我們只會考慮主機或配置的變更。受影響的 Guzzle 7 使用者應盡快升級至 Guzzle 7.4.5 。使用任何舊版 Guzzle 的受影響使用者應升級至 Guzzle 6.5.8 或 7.4.5。請注意，目前已在 Guzzle 7.4.2 中實作部分修正，其中主機變更會觸發系統移除 curl 新增的 Authorization 標頭，但是早期的這一修正並未涵蓋配置變更或連接埠變更。無法升級的使用者可使用您自己的重新導向中介軟體，而非我們的方法。如果您不要求或期望遵循重新導向，則應該一起停用所有重新導向。(CVE-2022-31091)

  - 在 1.35.7 之前版本、1.36.x 版、1.37.x 至 1.37.3 版以及 1.38.x 至 1.38.1 版的 MediaWiki 中發現一個問題。在允許使用者名稱中有 JavaScript 承載的組態中可能發生 XSS。建立帳戶後，將頁面標題設定為「歡迎後接使用者名稱」時，使用者名稱不會逸出：
    SpecialCreateAccount: : successfulAction() calls : : showSuccessPage() with a message as second parameter, and OutputPage: : setPageTitle() uses text()。(CVE-2022-34911)

  - 在 1.37.3 之前版本以及 1.38.x 至 1.38.1 版的 MediaWiki 中發現一個問題。Special: Contributions 上使用的 contributions-title 未經逸出就用作頁面標題。因此，在使用者名稱包含 HTML 實體的非預設組態中，不會將其逸出。(CVE-2022-34912)

  - Mediawiki 報告： (T292763、CVE-2021-44854) REST API 錯誤地從私人 wiki 公開快取自動完成搜尋結果。(T271037、CVE-2021-44856) AbuseFilter 中封鎖的標題可透過 Special: ChangeContentModel 建立。(T297322、CVE-2021-44857) 未經授權的使用者可使用 action=mcrundo 取代任意頁面的內容。(T297322、CVE-2021-44858) 未經授權的使用者可使用多種動作檢視私人 wiki 的內容。(T297574、CVE-2021-45038) 未經授權的使用者可使用復原動作存取私人 wiki 內容。(T293589、CVE-2021-44855) VisualEditor 媒體對話方塊中的儲存式 XSS 盲注弱點。(T294686) Special: Nuke 實際上並未刪除頁面。(CVE-2021-44854、CVE-2021-44855、CVE-2021-44856)

  - Mediawiki 報告： (T316304、CVE-2022-41767) 安全性：reassignEdits 不會更新對於 Special: Contributions 的 IP 範圍檢查中的結果。(T309894、CVE-2022-41765) 安全性：HTMLUserTextField 揭露存在隱藏的使用者。(T307278、CVE-2022-41766) 安全性：在 action=rollback 上，已滾動的訊息可洩漏修訂版已刪除的使用者名稱。(CVE-2022-41765、CVE-2022-41767)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上安装的程序包受到 dsa-5246 公告中提及的多个漏洞影响。

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现一个问题。因为主页消息的本地原生 interwiki 处理不当，具有 editinterface 权限的用户可触发无限递归。(CVE-2022-28201)

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现 XSS 问题。
    消息的 widthheight、widthheightpage 和 nbytes 属性未经转义就用于 gallery 或 Special: RevisionDelete 中。(CVE-2022-28202)

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现拒绝服务问题。当存在多个文件时，请求以执行者为条件的 Special:NewFiles 可导致运行时间非常长的查询。(CVE-2022-28203)

  - Guzzle 是一个 PHP HTTP 客户端。Guzzle 6.5.6 和 7.4.3 之前版本的 cookie 中间件中存在漏洞。存在此漏洞的原因是，未检查 cookie 域是否等同于通过 Set-Cookie 标头设置 cookie 的服务器域，从而允许恶意服务器为不相关的域设置 cookie。Cookie 中间件默认禁用，因此大多数库使用者不会受到此问题影响。只有手动将 cookie 中间件添加到处理程序堆栈或使用 ['cookies' => true] 构建客户端的使用者会受到影响。此外，不使用同一个 Guzzle 客户端调用多个域并禁用重定向转发的用户不受此漏洞影响。Guzzle 6.5.6 和 7.4.3 版本包含针对此问题的补丁。可以通过关闭 cookie 中间件来解决这个问题。(CVE-2022-29248)

  - Guzzle 是一个开源的 PHP HTTP 客户端。在受影响的版本中，请求中的“Cookie”标头是敏感信息。当使用“https”方案向服务器发出请求时，若服务器以重定向到使用“http” 方案的 URI 作为响应，或向服务器发出请求时，服务器以重定向到不同主机的 URI 作为响应，则我们不应转发“Cookie”标头。在此补丁之前，只会安全删除由我们的 cookie 中间件管理的 cookie，并且不会剥离任何手动添加到初始请求的“Cookie”标头。现在，我们会一律将其剥离，并允许 cookie 中间件重新添加它认为应该存在的任何 cookie。受影响的 Guzzle 7 用户应尽快升级到 Guzzle 7.4.4 。使用 Guzzle 较早版本的受影响用户应升级到 Guzzle 6.5.7 或 7.4.4。无法升级的用户可考虑使用您自己的重定向中间件，而不是我们的方法。如果您不要求或不期望遵循重定向，则应一起禁用所有重定向。(CVE-2022-31042)

  - Guzzle 是一个开源的 PHP HTTP 客户端。在受影响的版本中，请求中的“`身份验证`”标头是敏感信息。当使用“`https`”方案向服务器发出请求时，若服务器以重定向到使用“`https`” 方案的 URI 作为响应，则我们不应转发“`身份验证`”标头。这与主机变更时不转发标头的方式大致相同。在此补丁之前，“`https`”到“`https`”降级不会导致删除“`身份验证`”标头，只会导致对主机的更改。
    受影响的 Guzzle 7 用户应尽快升级到 Guzzle 7.4.4 。使用 Guzzle 较早版本的受影响用户应升级到 Guzzle 6.5.7 或 7.4.4。无法升级的用户可考虑使用自己的重定向中间件。或者，如果不想或不需要重定向，用户可以一起禁用所有重定向。 (CVE-2022-31043)

  - Guzzle 是一个可扩展的 PHP HTTP 客户端。请求中的“Authorization”标头是敏感信息。在受影响的版本中，当使用我们的 Curl 处理程序时，可以使用“CURLOPT_HTTPAUTH”选项来指定“Authorization”标头。在提出以重定向至具有不同来源（主机、方案或端口变更）的 URI 作为响应的请求时，如果我们选择跟随，则应在继续之前删除“CURLOPT_HTTPAUTH”选项，从而阻止 curl 向新请求附加“ Authorization”标头。受影响的 Guzzle 7 用户应尽快升级到 Guzzle 7.4.5 。使用 Guzzle 较早版本的受影响用户应升级到 Guzzle 6.5.8 或 7.4.5。请注意，Guzzle 7.4.2 实现了部分补丁，其中主机更改会触发程序删除 curl 添加的 Authorization 标头，但是较早的此补丁未涵盖方案更改或端口更改。如果您不要求或不期望遵循重定向，则应一起禁用所有重定向。
    或者，可以指定使用 Guzzle stream 处理程序后端，而不是 curl。(CVE-2022-31090)

  - Guzzle 是一个可扩展的 PHP HTTP 客户端。请求中的“Authorization”和“Cookie”标头是敏感信息。在提出以重定向至具有不同端口的 URI 作为响应的请求时，如果我们选择跟随，则应在继续之前删除请求中的“Authorization”和“ Cookie”标头。以前，我们只会考虑更改主机或方案。受影响的 Guzzle 7 用户应尽快升级到 Guzzle 7.4.5 。使用 Guzzle 较早版本的受影响用户应升级到 Guzzle 6.5.8 或 7.4.5。请注意，Guzzle 7.4.2 实现了部分补丁，其中主机更改会触发程序删除 curl 添加的 Authorization 标头，但是较早的此补丁未涵盖方案更改或端口更改。无法升级的用户可考虑使用您自己的重定向中间件，而不是我们的方法。如果您不要求或不期望遵循重定向，则应一起禁用所有重定向。(CVE-2022-31091)

  - 在 1.35.7 之前版本、1.36.x 版、1.37.x 版至 1.37.3 版以及 1.38.x 版至 1.38.1 版的 MediaWiki 中发现一个问题。允许用户名中包含 JavaScript 负载的配置中可能会发生 XSS。创建帐户后，将页面标题设置为“欢迎”后跟用户名时，未转义用户名：
    SpecialCreateAccount: : successfulAction() calls : : showSuccessPage() with a message as second parameter, and OutputPage: : setPageTitle() uses text()。(CVE-2022-34911)

  - 在 1.37.3 之前版本以及 1.38.x 版至 1.38.1 版的 MediaWiki 中发现一个问题。Special: Contributions 上使用的 contributions-title 没有转义就用作页面标题。因此，在用户名包含 HTML 实体的非默认配置中，不会对其进行转义。 (CVE-2022-34912)

  - MediaWiki 报告：（T292763。CVE-2021-44854）REST API 错误地公开缓存来自私人 wiki 的自动完成搜索结果。（T271037，CVE-2021-44856）在 AbuseFilter 中阻止的标题可通过 Special: ChangeContentModel 创建。（T297322，CVE-2021-44857）未经授权的用户可使用 action=mcrundo 替换任意页面的内容。（T297322，CVE-2021-44858）未经授权的用户可使用各种操作查看私人 wiki 的内容。（T297574，CVE-2021-45038）未经授权的用户可使用回滚操作访问私人 wiki 内容（T293589，CVE-2021-44855）VisualEditor 媒体对话框中的存储型 XSS 盲注漏洞。(T294686) Special: Nuke 实际上不会删除页面。（CVE-2021-44854、CVE-2021-44855、CVE-2021-44856）

  - MediaWiki 报告：（T316304、CVE-2022-41767）安全：reassignEdits 不会更新对于 Special: Contributions 的 IP 范围检查中的结果。（T309894、CVE-2022-41765）安全：HTMLUserTextField 暴露隐藏的用户。（T307278、CVE-2022-41766）安全：在 action=rollback 上，已滚动的消息可能会泄露修订版删除的用户名。（CVE-2022-41765、CVE-2022-41767）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3117 公告中提及的多個弱點影響。

  - 在 1.35.6 之前版本、 1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現一個問題。具有 editinterface 權限的使用者可觸發無限遞回，這是因為主頁面訊息的 bare local interwiki 處理不當。(CVE-2022-28201)

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現 XSS 問題。
    訊息的 widthheight、widthheightpage 和 nbytes 屬性在 gallery 或 Special: RevisionDelete 中使用時未被逸出 。(CVE-2022-28202)

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中發現拒絕服務問題。當存在許多檔案時，要求以執行者為條件的 Special:NewFiles 可導致執行很長時間的查詢。(CVE-2022-28203)

  - 在 1.35.7 之前版本、1.36.x 版、1.37.x 至 1.37.3 版以及 1.38.x 至 1.38.1 版的 MediaWiki 中發現一個問題。在允許使用者名稱中有 JavaScript 承載的組態中可能發生 XSS。建立帳戶後，將頁面標題設定為「歡迎後接使用者名稱」時，使用者名稱不會逸出：
    SpecialCreateAccount: : successfulAction() calls : : showSuccessPage() with a message as second parameter, and OutputPage: : setPageTitle() uses text()。(CVE-2022-34911)

  - 在 1.37.3 之前版本以及 1.38.x 至 1.38.1 版的 MediaWiki 中發現一個問題。Special: Contributions 上使用的 contributions-title 未經逸出就用作頁面標題。因此，在使用者名稱包含 HTML 實體的非預設組態中，不會將其逸出。(CVE-2022-34912)

  - Mediawiki 報告： (T292763、CVE-2021-44854) REST API 錯誤地從私人 wiki 公開快取自動完成搜尋結果。(T271037、CVE-2021-44856) AbuseFilter 中封鎖的標題可透過 Special: ChangeContentModel 建立。(T297322、CVE-2021-44857) 未經授權的使用者可使用 action=mcrundo 取代任意頁面的內容。(T297322、CVE-2021-44858) 未經授權的使用者可使用多種動作檢視私人 wiki 的內容。(T297574、CVE-2021-45038) 未經授權的使用者可使用復原動作存取私人 wiki 內容。(T293589、CVE-2021-44855) VisualEditor 媒體對話方塊中的儲存式 XSS 盲注弱點。(T294686) Special: Nuke 實際上並未刪除頁面。(CVE-2021-44856)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 10 主机上安装的多个程序包受到 dla-3117 公告中提及的多个漏洞影响。

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现一个问题。因为主页消息的本地原生 interwiki 处理不当，具有 editinterface 权限的用户可触发无限递归。(CVE-2022-28201)

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现 XSS 问题。
    消息的 widthheight、widthheightpage 和 nbytes 属性未经转义就用于 gallery 或 Special: RevisionDelete 中。(CVE-2022-28202)

  - 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现拒绝服务问题。当存在多个文件时，请求以执行者为条件的 Special:NewFiles 可导致运行时间非常长的查询。(CVE-2022-28203)

  - 在 1.35.7 之前版本、1.36.x 版、1.37.x 版至 1.37.3 版以及 1.38.x 版至 1.38.1 版的 MediaWiki 中发现一个问题。允许用户名中包含 JavaScript 负载的配置中可能会发生 XSS。创建帐户后，将页面标题设置为“欢迎”后跟用户名时，未转义用户名：
    SpecialCreateAccount: : successfulAction() calls : : showSuccessPage() with a message as second parameter, and OutputPage: : setPageTitle() uses text()。(CVE-2022-34911)

  - 在 1.37.3 之前版本以及 1.38.x 版至 1.38.1 版的 MediaWiki 中发现一个问题。Special: Contributions 上使用的 contributions-title 没有转义就用作页面标题。因此，在用户名包含 HTML 实体的非默认配置中，不会对其进行转义。 (CVE-2022-34912)

  - MediaWiki 报告：（T292763。CVE-2021-44854）REST API 错误地公开缓存来自私人 wiki 的自动完成搜索结果。（T271037，CVE-2021-44856）在 AbuseFilter 中阻止的标题可通过 Special: ChangeContentModel 创建。（T297322，CVE-2021-44857）未经授权的用户可使用 action=mcrundo 替换任意页面的内容。（T297322，CVE-2021-44858）未经授权的用户可使用各种操作查看私人 wiki 的内容。（T297574，CVE-2021-45038）未经授权的用户可使用回滚操作访问私人 wiki 内容（T293589，CVE-2021-44855）VisualEditor 媒体对话框中的存储型 XSS 盲注漏洞。(T294686) Special: Nuke 实际上不会删除页面。(CVE-2021-44856)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
165431	Debian DLA-3117-1 : mediawiki - LTS security update	Nessus	Debian Local Security Checks	2022/9/25	2023/10/10	medium
165710	Debian DSA-5246-1 : mediawiki - security update	Nessus	Debian Local Security Checks	2022/10/5	2023/10/10	high
159495	FreeBSD : mediawiki -- multiple vulnerabilities (79ea6066-b40e-11ec-8b93-080027b24e86)	Nessus	FreeBSD Local Security Checks	2022/4/4	2023/11/3	medium
165710	Debian DSA-5246-1：mediaWiki - セキュリティ更新	Nessus	Debian Local Security Checks	2022/10/5	2023/10/10	high
165431	Debian DLA-3117-1：mediaWiki - LTSセキュリティ更新	Nessus	Debian Local Security Checks	2022/9/25	2023/10/10	medium
159495	FreeBSD：mediawiki -- 複数の脆弱性 (79ea6066-b40e-11ec-8b93-080027b24e86)	Nessus	FreeBSD Local Security Checks	2022/4/4	2023/11/3	medium
165710	Debian DSA-5246-1：mediawiki - 安全性更新	Nessus	Debian Local Security Checks	2022/10/5	2023/10/10	high
165710	Debian DSA-5246-1：mediawiki - 安全更新	Nessus	Debian Local Security Checks	2022/10/5	2023/10/10	high
165431	Debian DLA-3117-1：mediawiki - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/9/25	2023/10/10	medium
165431	Debian DLA-3117-1：mediawiki - LTS 安全更新	Nessus	Debian Local Security Checks	2022/9/25	2023/10/10	medium

偵測

搜尋 Plugin

medium

high

medium

high

medium

medium

high

high

medium

medium