根據應用程式自我報告的版本號，遠端 Web 伺服器上託管的 MediaWiki 執行個體為 1.39.13 之前版本、1.42.7 之前的 1.42.x 版或 1.43.2 之前的 1.43.x 版。因此，它受到以下多個弱點影響。

- 無法在 FeedUtils 中逸出新頁訊息，這可導致 XSS 攻擊。(CVE-2025-32072)

- BlockList 會揭露包含隱藏使用者的資料列。(CVE-2025-6589)

- 無法在 HTMLUserTextField 驗證錯誤中逸出使用者名稱，這可導致 XSS 攻擊。(CVE-2025-6590)

- 無法在 action=feedcontributions API 中逸出 i18n 訊息，這可導致 XSS 攻擊。(CVE-2025-6591)

- 帳戶建立將臨時使用者名稱/IP 與真實使用者名稱連結。(CVE-2025-6592)

- IP 位址洩露給未經驗證的電子郵件。(CVE-2025-6593)

- 當提供無效的「format」值時，apisandbox 中會發生反射式 XSS。(CVE-2025-6594)

- MultimediaViewer 中透過系統訊息導致的儲存型 XSS。(CVE-2025-6595)

- Vector 會將插入 Portlet 標籤作為 HTML，這可導致儲存型 XSS。(CVE-2025-6596)

- 自動建立會被視為重新驗證時的登入方式。(CVE-2025-6597)

- 延伸模組無法在登入時抑制 reauth 標記。(CVE-2025-6926)

- 自動阻止能見度和隱藏的用戶名洩露。(CVE-2025-6927)

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5957 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5957-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 7 月 3 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：mediawiki CVE ID：CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072

    在 MediaWiki (一款用於共同作業的網站引擎) 中發現多個安全性問題，可導致跨網站指令碼、資訊洩漏、HTML 插入或不正確的驗證事件追蹤。

    針對穩定的發行版本 (bookworm)，已在版本 1:1.39.13-1~deb12u1 中修正這些問題。

    建議您升級 mediawiki 套件。

    如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mediawiki

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4249 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4249-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 23 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：mediawiki 版本：1:1.35.13-1+deb11u4 CVE ID：CVE-2025-3469 CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072 CVE-2025-32696 CVE-2025-32698 CVE-2025-32699

    在 mediawiki (一款用於進行共同作業的網站引擎) 中發現多個導致資訊洩漏或特權提升的安全性弱點。

    CVE-2025-3469

        網頁產生期間未正確清理使用者輸入，可能導致透過跨網站指令碼造成資訊洩漏或特權提升。

    CVE-2025-6590

        未清理密碼重設表單中的使用者輸入，可能導致透過嵌入洩漏私人頁面的資訊。

    CVE-2025-6591

        i18n 訊息中 API `action=feedcontributions` 輸出的 HTML 插入。

    CVE-2025-6593

        {{SITENAME}} 註冊的電子郵件地址已變更，電子郵件傳送至未經驗證的電子郵件地址，可能導致資訊洩漏。

    CVE-2025-6594

        Special:ApiSandbox 中的 XSS。儘管 1.39 中的已知問題未遭刺探利用，反向移植變更會提供一些安全強化，以防萬一。

    CVE-2025-6595

        MultimediaViewer 中透過系統訊息的已儲存 XSS。

    CVE-2025-6597

        出於安全性重新驗證的目的，自動建立被視為登入。不過，這不一定涉及即時使用者識別，因其可以某些供應商為基礎，根據工作階段 Cookie 或類似的低保真度資訊來識別使用者。取得 CentralAuth 工作階段 Cookie (在任何 wiki 上有效) 的攻擊者可造訪使用者尚無本機帳戶的 wiki，取得自動建立的帳戶，然後變更憑證或執行其他敏感作業。

    CVE-2025-6926

        允許延伸模組在登入時隱藏 reauth 旗標。這是透過登入頁面實作某種自動登入的延伸模組的因應措施，以指示登入流程並未涉及使用者實際登入，只是複製某些中央登入狀態，因此不適用於重新驗證旗標。

    CVE-2025-32072

        i18n 訊息中摘要輸出的 HTML 插入。

    CVE-2025-32696

         還原檔案可繞過重新上傳擁有限制。

    CVE-2025-32698

        在 LogPager.php 中不當強制執行隱藏限制。

    CVE-2025-32699

        Action API 中的 Unicode 正規化可能會導致 javascript 插入攻擊。

    針對 Debian 11 bullseye，已在 1:1.35.13-1+deb11u4 版本中修正這些問題。

    建議您升級 mediawiki 套件。

    如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mediawiki

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Wikimedia Foundation MediaWiki 中的弱點。此弱點與程式檔案 includes/api/ApiFeedContributions.Php 有關。此問題會影響 MediaWiki從 * 之前的 1.39.13、 1.42.7 1.43.2、 1.44.0。 (CVE-2025-6591)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
115340	MediaWiki 1.43.x < 1.43.2 多個弱點	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115339	MediaWiki 1.42.x < 1.42.7 多個弱點	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115338	MediaWiki < 1.39.13 多個弱點	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
241337	Debian dsa-5957：mediawiki - 安全性更新	Nessus	Debian Local Security Checks	2025/7/3	2025/7/3	medium
242647	Debian dla-4249：mediawiki - 安全性更新	Nessus	Debian Local Security Checks	2025/7/23	2025/7/23	medium
247707	Linux Distros 未修補的弱點：CVE-2025-6591	Nessus	Misc.	2025/8/10	2026/6/22	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

high