自己報告されたバージョン番号によると、リモート Web サーバーでホストされている MediaWiki のインスタンスは、 1.39.12 より前、 1.42.x より 1.42.6 前、または 1.43.x より前の 1.43.1 です。したがって、以下のように複数の脆弱性による影響を受けます。

- ファイル戻しアクションにおける不適切な制限。 (CVE-2025-32696)

- PermissionManager は、カスケード保護ソースを区別できないため、権限のないユーザーが、保護されたページを編集することが可能です。(CVE-2025-32697)

- LogPager 制限適用関数が、抑制されたログエントリへのアクセスを適切に制限しません。(CVE-2025-32698)

- Unicode 正規化による JavaScript インジェクションの可能性により、XSS 攻撃が可能になります。(CVE-2025-32699)

- セクション付きの HTMLMultiSelectField の i18n XSS の脆弱性。(CVE-2025-3469)

- AbuseFilter ログインターフェイスは、制限する必要があるときにプライベート/非表示フィルターを公開します。(CVE-2025-32700)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 12 ホストに、dsa-5901 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------- ------------------------ Debian セキュリティアドバイザリ DSA-5901-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff April 13, 2025 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ ：mediawiki CVE ID： CVE-2025-3469 CVE-2025-32696 CVE-2025-32697 CVE-2025-32698 CVE-2025-32699 CVE-2025-32700

    共同作業用の Web サイトエンジンである MediaWiki に複数のセキュリティの問題が発見されました。これにより、情報漏洩、クロスサイトスクリプティング、または制限バイパスが発生する可能性があります。

    安定版（stable）ディストリビューション（bookward）では、これらの問題はバージョン 1:1.39.12-1~deb12u1 で修正されました。

    お使いの mediawiki パッケージをアップグレードすることを推奨します。

    mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/mediawiki

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Wikimedia Foundation MediaWiki の認証されていないアクターへの機密情報の漏洩の脆弱性。この脆弱性は、プログラムファイル includes/logging/LogPager.Php に関連しています。この問題は MediaWiki に影響を与えます 1.39.12より前の 、 1.42.6、 1.43.1。CVE-2025-32698

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4249 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4249-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 23 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : mediawiki バージョン : 1:1.35.13-1+deb11u4 CVE ID : CVE-2025-3469 CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072 CVE-2025-32696 CVE-2025-32698 CVE-2025-32699

    共同作業用の Web サイトエンジンである mediawiki に複数のセキュリティ脆弱性が見つかりました。これは、情報漏洩または権限昇格につながる可能性があります。

    CVE-2025-3469

        Web ページ生成中にユーザー入力が適切にサニタイズされませんでした。これにより、クロスサイトスクリプティングを介して情報漏洩や権限昇格につながる可能性があります。

    CVE-2025-6590

        ユーザー入力がパスワードリセットフォームでサニタイズされませんでした。これにより、トランスクルージョンを介してプライベートページの情報漏洩につながる可能性があります。

    CVE-2025-6591

        i18n メッセージからの API `action=feedcontributions` 出力の HTML インジェクション。

    CVE-2025-6593

        {{SITENAME}} 登録メールアドレスが変更され、メールが検証されないメールアドレスに送信され、情報漏洩につながる可能性があります。

    CVE-2025-6594

        Special:ApiSandbox の XSS。既知の問題は 1.39で悪用できませんが、バックポートされた変更によって、いくつかのセキュリティ強化が追加で提供されます。

    CVE-2025-6595

        MultimediaViewer のシステムメッセージを介した蓄積型 XSS。

    CVE-2025-6597

        自動作成が、セキュリティ再認証を目的とするログインとして扱われました。ただし、これは必ずしもリアルタイムのユーザー識別ではありません。セッションクッキーまたは類似の忠実度の低い情報に基づいてユーザーを識別するプロバイダーに基づいている可能性があるためです。CentralAuth セッションクッキー (すべての wiki で有効) を入手した攻撃者が、ユーザーがローカルアカウントをまだ持っていない wiki を閲覧し、自動作成されたアカウントを取得してから、認証情報を変更したり、他の機密性の高い操作を実行したりする可能性があります。

    CVE-2025-6926

        拡張によってログインでの reauth フラグを抑制できるようにします。これは、ログインページを介して実装されたある種の自動ログインを備えた拡張機能に対する回避策です。このログインフローにはユーザーの実際のログインは含まれておらず、一部の中央のログイン状態がコピーされているだけであり、再認証フラグには適切ではないことを示しています。

    CVE-2025-32072

        i18n メッセージからのフィード出力の HTML インジェクション。

    CVE-2025-32696

         reupload-own の制限は、ファイルを戻すことでバイパスされる可能性があります。

    CVE-2025-32698

        LogPager.php における抑制制限の不適切な実施。

    CVE-2025-32699

        Action API での Unicode の正規化により有効化される潜在的な javascript インジェクション攻撃。

    Debian 11 bullseye においては、これらの問題はバージョン 1:1.35.13-1+deb11u4 で修正されました。

    お使いの mediawiki パッケージをアップグレードすることを推奨します。

    mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/mediawiki

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115342	MediaWiki 1.42.x < 1.42.6 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	low
115343	MediaWiki 1.43.x < 1.43.1 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	low
115341	MediaWiki < 1.39.12 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	low
234245	Debian dsa-5901 : mediawiki - セキュリティ更新	Nessus	Debian Local Security Checks	2025/4/13	2025/4/13	low
246227	Linux Distros のパッチ未適用の脆弱性: CVE-2025-32698	Nessus	Misc.	2025/8/8	2026/6/22	low
242647	Debian dla-4249: mediaWiki - セキュリティの更新	Nessus	Debian Local Security Checks	2025/7/23	2025/7/23	medium

検出

プラグインの検索

low

low

low

low

low

medium