MediaWiki 1.16.5 は、2 つのセキュリティの欠陥を修正するためにリリースされています：

最初の問題は、1.16.4 のリリースによって発生した Internet Explorer 6 XSS の脆弱性の再発です。4文字を超える危険な拡張子が存在するために、より長い拡張子に合致させるために、当社が導入している正規表現を更新する必要があることが指摘されました。（CVE-2011-1765）

第2の問題では、$wgBlockDisablesLoginが有効な場合、認証されていないユーザーがwikiで追加の権利を獲得できることです。デフォルトでは、これは無効になっています。この問題は、悪意あるユーザーが「被害者」のアカウントのユーザー名およびユーザー ID を含むクッキーを送信するときに発生します。特定の状況では、被害者の権利が読み込まれ、悪意あるリクエスト全体で使用され続けます。これにより、悪意あるユーザーが被害者の権利でアクションを実行することが可能です。（CVE-2011-1766）

$wgBlockDisablesLoginは、アカウントを持つユーザーがログインしてwikiのコンテンツを表示するのを防ぐために、プライベートwikiでときどき使用される機能です。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

検出

Fedora 14：mediawiki-1.16.5-59.fc14（2011-6774）

medium Nessus プラグイン ID 54608

変更ログが見つかりません