リモートの Debian 11 / 12 ホストには、dsa-5447 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.35.10 より前、1.38.6 より前の 1.36.x から 1.38.x、および 1.39.3 より前の 1.39.x の MediaWiki で問題が見つかりました。信頼できない X-Forwarded-For ヘッダーに対して自動ブロックが発生する可能性があります。(CVE-2023-29141)

  - 1.35.11 より前、1.38.7 より前の 1.36.x から 1.38.x、および 1.39.4 より前の 1.39.x の MediaWiki で問題が見つかりました。BlockLogFormatter の BlockLogFormatter.php により、部分ブロック機能で XSS が可能になります。
    (CVE-2023-36675)

  - MediaWiki による報告:  (T335203、CVE-2023-29197) guzzlehttp/psr7 を >= 1.9.1/2.4.5 にアップグレードしてください。(T335612、CVE-2023-36674) Manualthumb は badFile 検索をバイパスします。(T332889、CVE-2023-36675) 安全でないメッセージの使用による BlockLogFormatter の XSS。(CVE-2023-36674)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

DebianDSA-5447-1：mediaWiki - セキュリティ更新

critical Nessus プラグイン ID 178014

バージョン 1.0