Debian dla-4355mediawiki - セキュリティ更新

medium Nessus プラグイン ID 272096

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 11 ホストには、dla-4355 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

-------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4355-1 [email protected] https://www.debian.org/lts/security/Guilhem Moulin 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

パッケージmediawikiバージョン 1:1.35.13-1+deb11u5 CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656

共同作業用の Web サイトエンジンである mediawiki に複数のセキュリティの脆弱性が見つかりました。これは、情報漏洩、サービス拒否または権限昇格につながる可能性があります。

CVE-2025-11173

OATHAuth 拡張Special:OATHManage でフォームを送信することで、2FA を有効にするための再認証がバイパスされる可能性があります。

CVE-2025-11261

mw.language.listToText の蓄積型 i18n のクロスサイトスクリプティングXSSの脆弱性。

CVE-2025-61635

ConfirmEdit 拡張ApiFancyCaptchaReload にレート制限がありません。

CVE-2025-61638

Parsoid「data-」属性の検証バイパス。

CVE-2025-61639

エントリの作成から非表示になっているログエントリが、公開用の最近の変更エントリに漏洩される可能性があります。

CVE-2025-61640

Special:RecentChangesLinked の蓄積型 i18n のクロスサイトスクリプティングXSSの脆弱性。

CVE-2025-61641

miser モードでの QueryAllPages API の DDoS 脆弱性。「maxsize」値はそのモードで無視されるようになりました。

CVE-2025-61643

抑制された最近の変更が、一般 RCFeeds に漏洩する可能性があります。

CVE-2025-61646

個別のエディターが単一のページで連続したリビジョンを行うと、Public Watchlist/RecentChanges ページで、非表示のユーザー名が漏洩する可能性があります。一部のみが、非表示のユーザー名としてマークされます。

CVE-2025-61653

TextExtracts 拡張読み取り権限チェックがないため、抽出 API アクションエンドポイントに情報漏洩の脆弱性が存在します。

CVE-2025-61655

VisualEditor 拡張「lastModifiedAt」システムメッセージにおける蓄積型 i18n クロスサイトスクリプティングXSSの脆弱性。

CVE-2025-61656

VisualEditor 拡張「data-ve-attributes」からラップ解除された属性に対する属性検証がありません。

Debian 11 Bullseyeでは、これらの問題はバージョン 1:1.35.13-1+deb11u5で修正されました。

お使いの mediawiki パッケージをアップグレードすることを推奨します。

mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/mediawiki

Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。