- Kevin Israel (Wikipedia user PleaseStand) identified and     reported two vectors for injecting JavaScript in CSS     that bypassed MediaWiki's blacklist (CVE-2013-4567,     CVE-2013-4568).
    <https://bugzilla.wikimedia.org/show_bug.cgi?id=55332>

  - Internal review while debugging a site issue discovered     that MediaWiki and the CentralNotice extension were     incorrectly setting cache headers when a user was     autocreated, causing the user's session cookies to be     cached, and returned to other users (CVE-2013-4572).
    <https://bugzilla.wikimedia.org/show_bug.cgi?id=53032>

Additionally, the following extensions have been updated to fix security issues :

  - CleanChanges: MediaWiki steward Teles reported that     revision-deleted IP's are not correctly hidden when this     extension is used (CVE-2013-4569).
    <https://bugzilla.wikimedia.org/show_bug.cgi?id=54294>

  - ZeroRatedMobileAccess: Tomasz Chlebowski reported an XSS     vulnerability (CVE-2013-4573).
    <https://bugzilla.wikimedia.org/show_bug.cgi?id=55991>

  - CentralAuth: MediaWiki developer Platonides reported a     login CSRF in CentralAuth (CVE-2012-5394).
    <https://bugzilla.wikimedia.org/show_bug.cgi?id=40747>

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

- Kevin Israel（Wikipedia ユーザー PleaseStand）氏が、MediaWiki のブラックリストをバイパスするために、JavaScript をCSS に注入する 2 つのベクターを識別して報告しています（CVE-2013-4567、 CVE-2013-4568）。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=55332>

- ユーザーが自動作成されるときに MediaWiki と CentralNotice 拡張が誤ってキャッシュヘッダーを設定し、ユーザーのセッションクッキーがキャッシュされ、他のユーザーに戻される問題が、サイト問題のデバッグ中に内部レビューで発見されています（CVE-2013-4572）。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=53032>

さらに、セキュリティ問題を修正するために、以下の拡張機能が更新されています：

- CleanChanges：MediaWiki のスチュワードである Teles は、この拡張機能を使用するときに、リビジョン削除された IP が正しく非表示にされないことを報告しています（CVE-2013-4569）。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=54294>

- ZeroRatedMobileAccess：Tomasz Chlebowski 氏は、XSS 脆弱性を報告しました（CVE-2013-4573）。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=55991>

- CentralAuth：MediaWiki 開発者の Platonides 氏は、CentralAuth のログイン CSRF を報告しました（CVE-2012-5394）。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=40747>

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

According to its version number, the instance of MediaWiki running on the remote host is affected by the following vulnerabilities :

  - Input validation errors exist that allow cross-site     scripting attacks. (CVE-2013-4567, CVE-2013-4568)

  - An error exists related to session IDs and HTTP headers     that allows an information disclosure. (CVE-2013-4572)

Additionally, the following extensions contain vulnerabilities but are not enabled or installed by default (unless otherwise noted) : 

  - An input validation error exists related to the     'CentralAuth' extension that allows cross-site request     forgery (CSRF) attacks. (CVE-2012-5394)

  - An error exists in the 'CleanChanges' extension that     allows an information disclosure related to     'revision-deleted' IP addresses. (CVE-2013-4569)

  - An input validation error exists in the     'ZeroRatedMobileAccess' extension that allows cross-site     scripting attacks. (CVE-2013-4573)

Note that Nessus has not tested for these issues but has instead relied on the application's self-reported version number.

- Kevin Israel（Wikipedia 用户 PleaseStand）发现并报告了两个用于在 CSS 中注入 JavaScript 的矢量，这可绕过 MediaWiki 的黑名单（CVE-2013-4567、CVE-2013-4568）。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=55332>

- 调试网站问题时的内部审查发现，在自动创建用户时，MediaWiki 和 CentralNotice 扩展错误设置缓存标头，导致用户的会话 Cookie 被缓存，并且返回给其他用户 (CVE-2013-4572)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=53032>

此外，已更新以下扩展以修复安全问题：

- CleanChanges：MediaWiki 管理员 Teles 报告，修订删除的 IP 在使用此扩展时未正确隐藏 (CVE-2013-4569)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=54294>

- ZeroRatedMobileAccess：Tomasz Chlebowski 报告了一个 XSS 漏洞 (CVE-2013-4573)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=55991>

- CentralAuth：MediaWiki 开发人员 Platonides 报告了 CentralAuth 中的登录 CSRF (CVE-2012-5394)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=40747>

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

- Kevin Israel (Wikipedia 使用者 PleaseStand) 發現並報告了兩個向量，用於在繞過 MediaWiki 黑名單的 CSS 中插入 JavaScript (CVE-2013-4567、 CVE-2013-4568)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=55332>

- 除錯網站問題時進行的內部檢閱發現，在自動建立使用者時，MediaWiki 和 CentralNotice 延伸模組錯誤設定快取標頭，從而造成系統快取使用者的工作階段 Cookie，並傳回給其他使用者 (CVE-2013-4572)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=53032>

此外，下列延伸模組已更新，修正了安全性問題：

- CleanChanges：MediaWiki Steward Teles 報告，使用此延伸模組時，修訂版所刪除的 IP 沒有正確隱藏 (CVE-2013-4569)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=54294>

- ZeroRatedMobileAccess：Tomasz Chlebowski 報告了一個 XSS 弱點 (CVE-2013-4573)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=55991>

- CentralAuth：MediaWiki 開發人員 Platonides 報告 CentralAuth 中存在登入 CSRF (CVE-2012-5394)。
 <https://bugzilla.wikimedia.org/show_bug.cgi?id=40747>

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

バージョン番号によると、リモートホストで実行されている MediaWiki のインスタンスは、次の脆弱性による影響を受けます。

  - 入力検証のエラーが存在し、クロスサイトスクリプティング攻撃が発生する可能性があります。（CVE-2013-4567、CVE-2013-4568）

  - セッションIDとHTTPヘッダーに関連するエラーが存在し、情報漏洩を引き起こす可能性があります。（CVE-2013-4572）

また、次の拡張に脆弱性が含まれますが、（別途記載がない限り）デフォルトで有効にされたり、インストールされたりしません。 

  - 「CentralAuth」拡張に関連する入力検証エラーが存在し、クロスサイトリクエスト偽造攻撃（CSRF）が発生する可能性があります。（CVE-2012-5394）

  - 「CleanChanges」拡張にエラーが存在し、「revision-deleted」 IPアドレスに関連した情報漏洩が発生する可能性があります。（CVE-2013-4569）

  - 「ZeroRatedMobileAccess」拡張に入力の検証エラーが存在し、クロスサイトスクリプティング攻撃が引き起こされる可能性があります。（CVE-2013-4573）

Nessus はこれらの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号に依存していることに、注意してください。

根据其版本号，远程主机上运行的 MediaWiki 实例受到以下漏洞的影响：

  - 存在输入验证错误，允许跨站脚本攻击。（CVE-2013-4567、CVE-2013-4568）

  - 存在一个与会话 ID 和 HTTP 标头相关的错误，允许信息泄露。(CVE-2013-4572)

此外，以下扩展包含漏洞，但默认未启用或安装（除非另行说明）： 

  - 存在一个与“CentralAuth”扩展相关的输入验证错误，允许跨站请求伪造 (CSRF) 攻击。(CVE-2012-5394)

  - “CleanChanges”扩展中存在一个与“修订删除的”IP 地址相关的错误，允许信息泄露。(CVE-2013-4569)

  - “ZeroRatedMobileAccess”扩展中存在一个输入验证错误，允许跨站脚本攻击。(CVE-2013-4573)

请注意，Nessus 并未测试这些问题，而是依赖于应用程序自我报告的版本号。

根據其版本號碼，遠端主機上執行的 MediaWiki 執行個體受到下列弱點影響：

  - 存在允許跨網站指令碼攻擊的輸入驗證錯誤。(CVE-2013-4567、CVE-2013-4568)

  - 存在一個與工作階段 ID 和 HTTP 標頭相關的錯誤，允許造成資訊洩漏。(CVE-2013-4572)

此外，下列延伸模組存有多個弱點，但這些模組預設為停用或不安裝 (除非另有註明)： 

  - 存在一個與「CentralAuth」延伸模組相關的輸入驗證錯誤，允許攻擊者發動跨網站要求偽造 (CSRF) 攻擊。(CVE-2012-5394)

  - 「CleanChanges」延伸模組中存在一個錯誤，允許造成與「修訂版所刪除的」IP 位址相關的資訊洩漏。(CVE-2013-4569)

  -「ZeroRatedMobileAccess」延伸模組中存在一個允許跨網站指令碼攻擊的輸入驗證錯誤。(CVE-2013-4573)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	Name	Product	Family	Published	Updated	Severity
71150	Fedora 18 : mediawiki-1.19.9-1.fc18 (2013-21874)	Nessus	Fedora Local Security Checks	12/2/2013	1/11/2021	medium
71150	Fedora 18：mediawiki-1.19.9-1.fc18（2013-21874）	Nessus	Fedora Local Security Checks	12/2/2013	1/11/2021	medium
71149	Fedora 19 : mediawiki-1.21.3-1.fc19 (2013-21856)	Nessus	Fedora Local Security Checks	12/2/2013	1/11/2021	medium
71500	MediaWiki < 1.19.9 / 1.20.8 / 1.21.3 Multiple Vulnerabilities	Nessus	CGI abuses	12/17/2013	6/5/2024	medium
71150	Fedora 18：mediawiki-1.19.9-1.fc18 (2013-21874)	Nessus	Fedora Local Security Checks	12/2/2013	1/11/2021	medium
71150	Fedora 18 : mediawiki-1.19.9-1.fc18 (2013-21874)	Nessus	Fedora Local Security Checks	12/2/2013	1/11/2021	medium
71149	Fedora 19：mediawiki-1.21.3-1.fc19（2013-21856）	Nessus	Fedora Local Security Checks	12/2/2013	1/11/2021	medium
71500	MediaWiki < 1.19.9 / 1.20.8 / 1.21.3 の複数の脆弱性	Nessus	CGI abuses	12/17/2013	6/5/2024	medium
71500	MediaWiki < 1.19.9 / 1.20.8 / 1.21.3 多种漏洞	Nessus	CGI abuses	12/17/2013	6/5/2024	medium
71149	Fedora 19：mediawiki-1.21.3-1.fc19 (2013-21856)	Nessus	Fedora Local Security Checks	12/2/2013	1/11/2021	medium
71149	Fedora 19 : mediawiki-1.21.3-1.fc19 (2013-21856)	Nessus	Fedora Local Security Checks	12/2/2013	1/11/2021	medium
71500	MediaWiki < 1.19.9 / 1.20.8 / 1.21.3 多個弱點	Nessus	CGI abuses	12/17/2013	6/5/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium