According to its version number, the instance of MediaWiki running on the remote host is affected by multiple security vulnerabilities :

  - An attacker can block/unblock arbitrary users via cross-     site request forgery attack (XSRF) against an authorized     user. (CVE-2012-1578)

  - Unauthorized users can disclose XSRF tokens, triggered     by a failure of the 'user.tokens' module to restrict     access. (CVE-2012-1579)

  - An attacker can specially craft a URL that, should the     victim be tricked into following it, would execute     arbitrary script code in the victim's browser.
    (CVE-2012-1580)

  - Due to a flaw in pseudo-random number generation,     password reset tokens may be predictable.
    (CVE-2012-1581)

  - A cross-site scripting vulnerability exists because     MediaWiki does not validate input passed via the     wikitext parser during page creation prior to returning     it to the user. This allows the creation of a specially     crafted URL that would execute arbitrary code in the     user's browser. An attacker can also cause an infinite     loop, leading to a denial of service. (CVE-2012-1582,     CVE-2012-4885)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

バージョン番号によると、リモートホストで実行中の MediaWiki のインスタンスは、次の複数のセキュリティの脆弱性の影響を受けます：

  - 攻撃者は、認証されたユーザーに対するクロスサイトリクエスト偽造攻撃（XSRF）を通じて、任意のユーザーをブロック/ブロック解除することができます。（CVE-2012-1578）

  - 認証されていないユーザーが、「user.tokens」モジュールでアクセスを制限できないことから、XSRFトークンを漏洩させる可能性があります。（CVE-2012-1579）

  - 攻撃者は、被害者が騙されて従うように、URL を特別に細工し、被害者のブラウザで任意のスクリプトコードを実行する可能性があります。
    （CVE-2012-1580）

  - 擬似乱数発生での欠陥により、パスワードをリセットするトークンが予測可能になる可能性があります。
    （CVE-2012-1581）

  - MediaWiki が、ユーザーに戻される前のページ作成での wikitext パーサーによって渡される入力を検証しないため、クロスサイトスクリプティングの脆弱性が存在します。これによって、ユーザーのブラウザで任意のコードを実行できる、特別に細工された URL の作成が可能になります。また、攻撃者が無限ループを引き起こし、サービス拒否を引き起こす可能性があります。（CVE-2012-1582、CVE-2012-4885）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根據其版本號碼，遠端主機上執行的 MediaWiki 執行個體受到多個弱點影響：

  - 攻擊者可對經授權的使用者發動跨網站要求偽造攻擊 (XSRF)，藉此封鎖/解除封鎖任意使用者。(CVE-2012-1578)

  - 未經授權的使用者可洩漏 XSRF token，此問題是因「user.tokens」模組限制存取失敗所觸發。(CVE-2012-1579)

  - 攻擊者可特製誘騙受害者跟隨的 URL，進而在受害者的瀏覽器中執行任意指令碼。
    (CVE-2012-1580)

  - 由於虛擬亂數產生器中的一個瑕疵，密碼重設 token 可能可加以預測。
    (CVE-2012-1581)

  - 由於建立頁面期間 MediaWiki 未驗證透過 wikitext 剖析器傳遞的輸入，便將其傳回給使用者，故存在一個跨網站指令碼弱點。這會允許建立特製的 URL，進而在使用者的瀏覽器中執行任意程式碼。攻擊者也可造成無限迴圈，進而導致拒絕服務。(CVE-2012-1582、CVE-2012-4885)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其版本号，远程主机上运行的 MediaWiki 实例受到多种安全漏洞的影响：

  - 攻击者可通过针对经授权用户的跨站请求伪造攻击 (XSRF) 来阻断/取消阻断任意用户。(CVE-2012-1578)

  - 未经授权的用户可泄露 XSRF 标记，由“user.tokens”模块限制访问失败触发。(CVE-2012-1579)

  -攻击者可特别构建一个 URL，如果受害者受到诱骗跟随它，将在受害者的浏览器中执行任意脚本代码。
    (CVE-2012-1580)

  - 由于伪随机数生成中的一个缺陷，可能可以猜测密码重置标记。
    (CVE-2012-1581)

  - 存在一个跨站脚本漏洞，原因是 MediaWiki 在将页面创建期间通过 wikitext 解析器传递的输入返回给用户之前不会对输入进行验证。此问题允许创建特别构建的 URL，将在该用户的浏览器中执行任意代码。攻击者还可造成无限循环，从而导致拒绝服务。（CVE-2012-1582、CVE-2012-4885）

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

ID	Name	Product	Family	Published	Updated	Severity
58965	MediaWiki < 1.17.3 / 1.18.2 Multiple Vulnerabilities	Nessus	CGI abuses	5/2/2012	6/5/2024	medium
58965	MediaWiki < 1.17.3 / 1.18.2 複数の脆弱性	Nessus	CGI abuses	5/2/2012	6/5/2024	medium
58965	MediaWiki < 1.17.3 / 1.18.2 多個弱點	Nessus	CGI abuses	5/2/2012	6/5/2024	medium
58965	MediaWiki < 1.17.3/1.18.2 多种漏洞	Nessus	CGI abuses	5/2/2012	6/5/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium