http://www.mediawiki.org/wiki/Release_notes/1.23#MediaWiki_1.23.7

- （バグ 66776、バグ 71478）セキュリティ：ユーザーの PleaseStand は、format=php を使用してフラッシュポリシーのマングリングを受けるページを処理する API クライアントに、コードを挿入する方法があることを報告しました。これは修正されました。また、format=json に対するマングリングが改善され、サイトが $wgMangleFlashPolicy を使用するマングリングを無効することを許可しました。

- （バグ 70901）セキュリティ：ユーザーの Jackmcbarn 氏は、ページのコンテンツモデルを更新できる機能により、権限のない攻撃者が、特定の状況下で他のユーザーの common.js を編集することが可能であることを報告しました。ユーザーの権限「editcontentmodel」が追加されました。これは、リビジョンのコンテンツモデルを変更するために必要です。

- （バグ 71111）セキュリティ：ユーザーのユーザーの PleaseStand 氏は、 Raw HTML を許可するウィキで、クロスサイトリクエストなどの信頼できないソースから来たウィキテキストをプレビューすることが安全でないことを報告しました。このため、編集トークンをフォームに追加してください。また、Raw HTML が許可される場合は、プレビューを表示する前にトークンが提供されるようにしてください。このシナリオを悪用するより簡単な方法があるため、このチェックは Raw HTML と匿名の編集の両方を許可するウィキでは実行されません。

- （バグ 72222）セキュリティ：エントリが DELETED_ACTION でリビジョン削除される場合に、ログアクションを表示しません。通知：これは、望ましい機能性に関する公開された RFC を保留する将来のリリースで戻される可能性があります。この問題は、ユーザー Bawolff によって報告されました。

- （バグ 71621）制限された特殊なページの許可するサイトワイドスタイルを構成オプションにします。

- （バグ 42723）1.19.2 から 1.22.13 までの更新済みのバージョン履歴を追加

- フラッシュポリシーディレクティブと思われる何かの MediaWiki マングリングを構成可能にする $wgMangleFlashPolicy が追加されました。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Fedora 20：mediawiki-1.23.7-1.fc20（2014-16033）

high Nessus プラグイン ID 79908

変更ログが見つかりません