リモートホストは、GLSA-201310-21 で説明されている脆弱性の影響を受けます（MediaWiki：複数の脆弱性）

MediaWiki で複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、任意のコードを実行したり、中間者攻撃を仕掛けたり、機密情報を入手したり、あるいはクロスサイトスクリプティング攻撃を仕掛けたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

バージョン番号によると、リモートホストで実行されている MediaWiki のインスタンスは、次の脆弱性による影響を受けます。

- ResourceLoader で無効な言語が指定されると、完全なインストールパスがエラーメッセージで漏洩されます。(CVE-2013-4301)

- JSONP　を通じてアクセスされる API モジュールに、複数のクロスサイトリクエスト偽造の脆弱性が存在します。
 (CVE-2013-4302)

- プロパティ名に送信された入力が適切にサニタイズされないため、クロスサイトスクリプティングの脆弱性が存在します。(CVE-2013-4303)

また、次の拡張に脆弱性が含まれますが、（別途記載がない限り）デフォルトで有効にされたり、インストールされたりしません。

- 「centralauth_User」クッキーの操作によって、CentralAuth 拡張で認証がバイパスされる可能性があります。
 (CVE-2013-4304)

- SyntaxHighlight GeSHi 拡張は、「example.php」スクリプトに送信される場合、ユーザー入力が適切にサニタイズされないため、クロスサイトスクリプティングの脆弱性の影響を受けます。この拡張はインストールされますが、デフォルトでは MediaWiki 1.21.x で有効ではありません。
 (CVE-2013-4305)

- CheckUser 拡張は、HTTP リクエストを適切に検証しないので、クロスサイトリクエスト偽造脆弱性の影響を受けます。(CVE-2013-4306)

- Wikibase 拡張は、エンティティビューの「In other languages」セクションで適切にラベルをエスケープしないので、クロスサイトスクリプティングの脆弱性の影響を受けます。(CVE-2013-4307)

- LiquidThreads 拡張は、LQT スレッドサブジェクトに送信されるユーザー入力を適切にサニタイズしないので、クロスサイトスクリプティングの脆弱性の影響を受けます。
 (CVE-2013-4308)

Nessus はこれらの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号に依存していることに、注意してください。

- SECURITY：ResourceLoader 例外メッセージのサニタイズ

- SECURITY：jsonp コールバックを使用する際に、Token-getting 関数が失敗します。

- SECURITY：2 つの .’s で拡張検出を修正

- 「*」以外の文字列を、DatabaseBase::delete() に対する条件として許可します

- ファイルアセットを削除する際に Upstream キャッシュを消去

- jquery.tablesorter：jquery.mwExtension で不足している依存関係を追加します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

mediawiki で複数の脆弱性が発見され、修正されています：

無効な言語が ResourceLoader で指定される際の 1.20.7 より前の MediaWiki におけるフルパスの漏洩（CVE-2013-4301）。

1.20.7 より前の MediaWiki のいくつかの API モジュールにより、CSRF 対策のトークンが JSONP によりアクセスされる可能性があります（CVE-2013-4302）。

1.20.7 より前の MediaWiki の MediaWiki API に問題があり、無効なプロパティ名が古いバージョンの Internet Explorer による XSS に利用される可能性があります（CVE-2013-4303）。

いくつかの詳細不明なセキュリティ問題が、1.20.6 で修正されました。これは、MBS 1 で出荷されたもので、かなり長い間 EOL upstream であった MediaWiki 1.16.5 バージョンを置き換えます。

MediaWiki は、1.18 リリースの Mah 拡張を削除しましたが、現在これは別途利用することができます。これは、mediawiki-math パッケージに同梱されました。

mediawiki-graphviz と mediawiki-ldapauthentication のパッケージも更新され、新しい MediaWiki パッケージと機能するようになっています。

更新済みパッケージが、これらの問題に対するソリューションを提供します。

- SECURITY：2 つの .’s で拡張検出を修正

- セキュリティ：1.20 以来非推奨になっている action=block および action=unblock への「gettoken」パラメーターへのサポートが、削除されています。

- SECURITY：ResourceLoader 例外メッセージのサニタイズ

- ファイルアセットを削除する際に Upstream キャッシュを消去

- ユニットテストパッケージが AutoLoader テストを実行するようになりました。また、影響はありませんが、 PageORMTableForTesting クラスの自動ロードエントリが修正されています。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

wiki エンジンである MediaWiki で、いくつかの API モジュールにより、anti-CSRF トークンが JSONP 経由でアクセスされる可能性があることが判明しました。これらのトークンは、クロスサイトリクエスト偽造に対して保護されており、機密データです。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
70677	GLSA-201310-21：MediaWiki：複数の脆弱性	Nessus	Gentoo Local Security Checks	2013/10/29	2021/1/6	high
70293	MediaWiki < 1.19.8 / 1.20.7 / 1.21.2 の複数の脆弱性	Nessus	CGI abuses	2013/10/3	2024/6/5	high
70029	Fedora 18：mediawiki-1.19.8-1.fc18（2013-15994）	Nessus	Fedora Local Security Checks	2013/9/21	2021/1/11	medium
69918	Mandriva Linux セキュリティアドバイザリ：mediawiki（MDVSA-2013:235）	Nessus	Mandriva Local Security Checks	2013/9/17	2021/1/6	medium
70050	Fedora 20：mediawiki-1.21.2-1.fc20（2013-15937）	Nessus	Fedora Local Security Checks	2013/9/23	2021/1/11	medium
70028	Fedora 19：mediawiki-1.21.2-1.fc19（2013-15984）	Nessus	Fedora Local Security Checks	2013/9/21	2021/1/11	medium
69884	Debian DSA-2753-1：mediawiki - 情報漏洩	Nessus	Debian Local Security Checks	2013/9/14	2021/1/11	medium

検出

プラグインの検索

high

high

medium

medium

medium

medium

medium