MediaWiki < 1.18.5 / 1.19.2 複数の脆弱性

high Nessus プラグイン ID 62358

Language:

概要

リモート Web サーバーには、複数の脆弱性に影響を受ける PHP アプリケーションが含まれています。

説明

バージョン番号によると、リモートホストで実行中の MediaWiki のインスタンスは、次の複数のセキュリティの脆弱性の影響を受けます：

- アプリケーションが、コメントを通じて存在しないイメージの「File:」タグに送信されたユーザー指定の入力を十分にサニタイズできないことによる、蓄積型クロスサイトスクリプティング（HTML インジェクション）の脆弱性が存在します。（CVE-2012-4377）

- アプリケーションが、様々な言語の Wikipedia で「uselang」パラメーターと JavaScript ガジェットに対するユーザー指定の入力を十分にサニタイズできないことによる、複数の DOM ベースのクロスサイトスクリプティングの脆弱性が存在します。（CVE-2012-4378）

- X-Frame-Options ヘッダーが使用されたときに、アプリケーションがリクエストを適切に検証できないことによる、クロスサイトリクエスト偽造（XSRF）の脆弱性が存在します。（CVE-2012-4379）

- アプリケーションが、「GlobalBlocking」拡張でブロックされた IP アドレスに対してアカウント作成を防ぐことができないことによる、セキュリティバイパスの脆弱性が存在します。
（CVE-2012-4380）

- アプリケーションが、存在しないアカウントに対して外部認証システムの古いパスワードの使用を防ぐことができないことによる、セキュリティバイパスの脆弱性が存在します。（CVE-2012-4381）

- 管理者がすでにブロックされているユーザーのブロックを試みたとき、情報漏洩が発生します。これにより、管理者の権限にかかわらず、2 人目の管理者にブロックの理由が漏洩します。（CVE-2012-4382）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。