此更新會將 mediawiki 升級到 1.16.4 版，這是當前最新的穩定版本，同時也是目前 mediawiki 開發人員社群支援和推薦的唯一版本。

深入變更：

- 新增一些簡單的 wiki 管理功能：

- mw-createinstance <path> 會在 <path> 底下建立 wiki 執行個體，而該執行個體會在套件更新時自動升級。

- 在 /etc/mediawiki/instances 中輸入的所有 wiki 路徑，都會在套件更新時自動升級。

- /var/www/wiki 會自動輸入此清單中，但如果您不想讓此執行個體自動升級，可以將它移除。

- 依預設啟用 opensearch 和建議

- 數個錯誤修正 (請參閱變更記錄)。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 MediaWiki 安裝受到一個跨網站指令碼弱點影響，其允許攻擊者在不知情的使用者之瀏覽器中執行任意指令碼。此類指令碼可竊取驗證認證，並用於發動其他攻擊。

此版本的 MediaWiki 也可能包含第二個跨網站指令碼與/或未經授權存取弱點，但此外掛程式並未測試這些弱點。

在　MediaWiki　(適用於共同作業的網站引擎) 中發現數個問題。

- CVE-2011-1578 CVE-2011-1587 Masato Kinugawa 發現一個跨網站指令碼 (XSS) 問題，此問題僅會影響 6 版及更舊版本的 Internet Explorer 用戶端。必須變更 Web 伺服器組態，才可修正此問題。升級 MediaWiki 將僅足以適用在啟用 AllowOverride 之情況下使用 Apache 的人士。

如需必要組態變更的詳細資訊，請參閱上游公告。

- CVE-2011-1579 Wikipedia 使用者 Suffusion of Yellow 在 wikitext 剖析器中發現一個 CSS 驗證錯誤。由於其允許嵌入任意遠端影像，因此對 Internet Explorer 用戶端而言，這是一個 XSS 問題，而對其他用戶端而言，則是一個隱私權喪失問題。

- CVE-2011-1580 MediaWiki 開發人員 Happy-Melon 發現，transwiki 匯入功能未在提交表單時執行存取控制檢查。transwiki 匯入功能依預設為停用。若啟用該功能，則可允許從 $wgImportSources 中所列示的遠端 wiki 複製 wiki 頁面。此問題表示任何使用者皆可觸發此類匯入。

- CVE-2011-4360 Alexandre Emsenhuber 發現一個問題，其中私人 wiki 上的頁面標題可遭到洩漏，進而繞過 index.php 的不同頁面 ID。如果使用者沒有正確的權限，目前會將其重新導向至 Special:BadTitle。

- CVE-2011-4361 Tim Starling 發現，未經任何讀取權限檢查，而將 action=ajax 要求分派至相關函式。這可導致私人 wiki 上的資料洩漏。

此更新會將 mediawiki 升級到 1.16.2 版，這是當前最新的穩定版本，同時也是目前 mediawiki 開發人員社群支援和推薦的唯一版本。

深入變更：

- 新增一些簡單的 wiki 管理功能：

- mw-createinstance <path> 會在 <path> 底下建立 wiki 執行個體，而該執行個體會在套件更新時自動升級。

- 在 /etc/mediawiki/instances 中輸入的所有 wiki 路徑，都會在套件更新時自動升級。

- /var/www/wiki 會自動輸入此清單中，但如果您不想讓此執行個體自動升級，可以將它移除。

- 依預設啟用 opensearch 和建議

- 數個錯誤修正 (請參閱變更記錄)。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201206-09 中所述的弱點影響 (MediaWiki：多個弱點)

    在 mediawiki 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    MediaWiki 允許遠端攻擊者繞過驗證；透過特製的 POST 要求從任何 wgImportSources wiki 執行匯入；發動跨網站指令碼 (XSS) 攻擊或取得敏感資訊；插入任意 Web 指令碼或 HTML；發動點擊劫持攻擊；執行任意 PHP 程式碼；插入任意 Web 指令碼或 HTML；繞過預定的存取限制並取得敏感資訊。
  因應措施：

    目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
53609	Fedora 14 : mediawiki-1.16.4-58.fc14 (2011-5812)	Nessus	Fedora Local Security Checks	2011/5/2	2021/1/11	medium
53608	Fedora 13 : mediawiki-1.16.4-58.fc13 (2011-5807)	Nessus	Fedora Local Security Checks	2011/5/2	2021/1/11	medium
53448	MediaWiki 反斜線逸出的 CSS 註解 XSS	Nessus	CGI abuses : XSS	2011/4/15	2022/4/11	medium
57506	Debian DSA-2366-1：mediawiki - 多個弱點	Nessus	Debian Local Security Checks	2012/1/12	2021/1/11	medium
53567	Fedora 15 : mediawiki-1.16.4-58.fc15 (2011-5848)	Nessus	Fedora Local Security Checks	2011/4/27	2021/1/11	medium
53521	Fedora 15 : mediawiki-1.16.4-57.fc15 (2011-5495)	Nessus	Fedora Local Security Checks	2011/4/22	2021/1/11	medium
59647	GLSA-201206-09 : MediaWiki：多個弱點	Nessus	Gentoo Local Security Checks	2012/6/22	2021/1/6	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

high