更新済みの mediawiki パッケージは、次のセキュリティ脆弱性を修正します：

123.9 より前の MediaWiki では、埋め込みリソースの SVG MIME ブラックリストを回避できます。これにより、攻撃者が、SVG に JavaScript を埋め込むことができます（CVE-2015-2931）。

1.23.9 より前の MediaWiki では、アニメーション要素を利用した JavaScript の注入を回避するための SVG フィルターが不適切でした（CVE-2015-2932）。

1.23.9 より前の MediaWiki では、蓄積型 XSS の脆弱性が存在しています。これは、LanguageConverter 代替とともに、属性が MediaWiki の Html クラスで拡張されていた方法により存在します（CVE-2015-2933）。

1.23.9 より前の MediaWiki では、MediaWiki のSVG フィルタリングが、Zend インタープリター下のエンティティエンコーディングによりバイパスされる可能性があります。これは、JavaScript を注入するために使用される可能性があります（CVE-2015-2934）。

1.23.9 より前の MediaWiki では、SVG ファイルが外部リソースをロードするためのスタイルフィルタリングがバイパスされる可能性があります。これにより、SVG を表示しているユーザーの匿名性に違反する可能性があります（CVE-2015-2935）。

1.23.9 より前の MediaWiki では、パスワードハッシングに PBKDF2 を使用する MediaWiki のバージョン（1.23 では非デフォルト）は、非常に長いパスワードを利用する DoS 攻撃 に脆弱です（CVE-2015-2936）。

1.23.9 より前の MediaWiki では、HHVM および Zend PHP の両方において MediaWiki が二次爆発 DoS 攻撃に脆弱性となっています（CVE-2015-2937）。

1.23.9 より前の MediaWiki では、ユーザーが別のユーザーのカスタム JavaScript をプレビューできるようにする MediaWiki の機能が、権限昇格に不正利用される可能性があります（CVE-2015-2938）。

1.23.9 より前の MediaWiki では、関数名が Lua エラーバックトレースでサニタイズされていませんでした。これにより、XSS が発生する可能性があります（CVE-2015-2939）。

1.23.9 より前の MediaWiki では、CheckUser 拡張が、フォームでの CSRF 攻撃を防いでいませんでした。この攻撃により、checkuser がその他のユーザーについての機密情報の検索を行うことができます。CheckUser の使用が記録されているため、信頼できるユーザーを中傷するためや、ノイズでログをフラッドするために CSRF が不正に利用される可能性があります（CVE-2015-2940）。

MediaWiki パッケージがバージョン 1.23.9 にアップグレードされ、これらの問題やその他のバグが修正されています。

検出

Mandriva Linux セキュリティアドバイザリ：mediawiki（MDVSA-2015:200）

high Nessus プラグイン ID 82686

変更ログが見つかりません