自己報告されたバージョン番号によると、リモート Web サーバーでホストされている MediaWiki のインスタンスは、 1.39.14 より前、 1.43.x より 1.43.4 前、または 1.44.x より前の 1.44.1 です。したがって、以下のように複数の脆弱性による影響を受けます。

- REST は、リダイレクトに対してキャッシュコントロール値の max-age=60 を設定しません。(CVE-2025-61634)

- ApiFancyCaptchaReload は、ConfirmEdit で badcaptcha レート制限を再利用しません。(CVE-2025-61635)

- rawElement $contentエスケープの失敗(CVE-2025-61636)

- ライブプレビューで使用される 3 つのシステムメッセージをエスケープできない。(CVE-2025-61637)

- データ属性のサニタイズの失敗(Parsoid にも影響)。(CVE-2025-61638)

- ::getRecentChange での ManualLogEntry::getDeleted の不適切な使用。(CVE-2025-61639)

- メッセージは解析されるのではなく、HTML として挿入されます。(CVE-2025-61640)

- maxsize は miser モードの QueryAllPages で無効になっていません。(CVE-2025-61641)

- Codex ベースの HTMLForms の送信ボタンラベルをエスケープすることに失敗します。(CVE-2025-61642)

- 抑制された最近の変更が RCFeeds に送信されます。(CVE-2025-61643)

- CodexTablePager の i18n XSS。(CVE-2025-61645)

- 隠しユーザー名が Watchlist/RecentChanges に漏洩します。(CVE-2025-61646)

- HTML として CheckUser に挿入する前に、システムメッセージをエスケープできない。(CVE-2025-61648)

- CheckUser の tempuser-expired-link-tooltip メッセージの XSS。(CVE-2025-61651)

- API は、DiscussionTools で PageInfo を表示する前にユーザーの読み取り権限をチェックしません。(CVE-2025-61652)

- TextExtracts の抽出エンドポイントに対する authorizeRead チェックの欠落。(CVE-2025-61653)

- Thanks で感謝をカウントする際に、削除されたエントリは除外されません。(CVE-2025-61654)

- ビジュアルエディターにおけるシステムメッセージの不適切なエスケープおよび解析。(CVE-2025-61655)

- ビジュアルエディターで data-ve-attributes からラップ解除された属性をサニタイズできない。(CVE-2025-61656)

- ベクターでは、スティッキーヘッダーラベルがテキストではなく HTML として挿入されます。(CVE-2025-61657)

- CheckUser の GlobalContributions から除外する構成変数がありません。(CVE-2025-61658)

- 2FA を有効にするための再認証は、OATHAuth でフォームを送信することでバイパスできます。(CVE-2025-11173)

- DiscussionTools が不十分な正規表現を使用しています。(CVE-2025-11175)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 12/13 ホストには、dsa-6085 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6085-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 12 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージmediawiki CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656 CVE-2025-67475 CVE-2025-67478 CVE-2025-67479 CVE-2025-67480 CVE-2025-67481 CVE-2025-67482 CVE-2025-67484 CVE-2025-67483 CVE-2025-67477 CVE-2025-61657 CVE-2025-61654 CVE-2025-61652 CVE-2025-61642 CVE-2025-61637 CVE-2025-61636 CVE-2025-61634 CVE-2025-11175

    共同作業用の Web サイトエンジンである MediaWiki で、複数のセキュリティの問題が見つかりました。これは、クロスサイトスクリプティング、情報漏洩、レート制限の欠如またはサービス拒否を引き起こす可能性があります。

    旧安定版oldstableディストリビューションbookbirdでは、これらの問題はバージョン 1:1.39.17-1~deb12u1 で修正されています。

    安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1:1.43.6+dfsg-1~deb13u1 で修正されています。

    お使いの mediawiki パッケージをアップグレードすることを推奨します。

    mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/mediawiki

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Wikimedia Foundation MediaWiki の Web ページ生成中の不適切な入力中性化XSS または「クロスサイトスクリプティング」の脆弱性。この脆弱性は、プログラムファイル resources/src/mediawiki.Action/mediawiki.Action.Edit.Preview.Js、resources/src/mediawiki.Page.Preview.Js に関連しています。
    この問題は MediaWiki に影響を与えます 1.39.14*より前の 、 1.43.4、、 1.44.1。CVE-2025-61637

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115336	MediaWiki 1.43.x < 1.43.4 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	high
115335	MediaWiki < 1.39.14 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	high
115337	MediaWiki 1.44.x < 1.44.1 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	high
279440	Debian dsa-6085mediawiki - セキュリティ更新	Nessus	Debian Local Security Checks	2025/12/19	2026/3/17	high
269501	Linux Distros のパッチ未適用の脆弱性: CVE-2025-61637	Nessus	Misc.	2025/10/8	2026/6/22	medium

検出

プラグインの検索

high

high

high

high

medium