自己報告のバージョン番号によると、リモート Web サーバーでホストされている MediaWiki のインスタンスは 1.39.13 より前か、1.42.7 より前の 1.42.x、または 1.43.2 より前の 1.43.x です。したがって、以下の多くの脆弱性の影響を受けます。

- XSS 攻撃を可能にする FeedUtils の新規ページメッセージのエスケープが失敗する。(CVE-2025-32072)

- BlockList が抑制されたユーザーを含む行を漏洩する。(CVE-2025-6589)

- XSS 攻撃を可能にする、HTMLUserTextField の検証エラーでユーザー名をエスケープできない。(CVE-2025-6590)

- action=feedcontributions API における i18n メッセージのエスケープ処理の不備により、XSS 攻撃が可能になる。(CVE-2025-6591)

- アカウント作成時に、一時ユーザー名 / IP アドレスと実際のユーザー名が関連付けられる。(CVE-2025-6592)

- 未確認のメールに対する IP アドレスの漏洩。(CVE-2025-6593)

- apisandbox において、無効な「format」値が指定された場合に反射型 XSS が発生する。(CVE-2025-6594)

- MultimediaViewer のシステムメッセージを介した蓄積型 XSS。(CVE-2025-6595)

- Vector がポートレットラベルを HTML として挿入するため、格納型 XSS が可能になる。(CVE-2025-6596)

- 自動作成が再認証時のログインとして扱われる。(CVE-2025-6597)

- 拡張機能は、ログイン時の再認証フラグを抑制できない。(CVE-2025-6926)

- 自動ブロックの可視性および非表示ユーザー名の漏洩。(CVE-2025-6927)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ウィキメディア財団MediaWikiにおける無許可アクターによる機密情報の脆弱性暴露。この脆弱性はプログラムファイル include/htmlform/fields/HTMLUserTextField.Php に関連しています。この問題はMediaWikiに影響を与えます:*から 1.39.12、 1.42.76 1.43.1、 1.44.0。(CVE-2025-6590)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Debian 12 ホストには、dsa-5957 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5957-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 7 月 3 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ: mediawiki CVE ID: CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072

    共同作業用のウェブサイトエンジンである MediaWiki に複数のセキュリティ上の問題が発見されました。これにより、クロスサイトスクリプティング、情報漏洩、HTML インジェクション、認証イベントの不正な追跡が発生する可能性があります。

    安定版 (stable) ディストリビューション (bookworm) では、これらの問題はバージョン 1:1.39.13-1~deb12u1 で修正されています。

    お使いの mediawiki パッケージをアップグレードすることを推奨します。

    mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/mediawiki

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4249 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4249-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 23 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : mediawiki バージョン : 1:1.35.13-1+deb11u4 CVE ID : CVE-2025-3469 CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072 CVE-2025-32696 CVE-2025-32698 CVE-2025-32699

    共同作業用の Web サイトエンジンである mediawiki に複数のセキュリティ脆弱性が見つかりました。これは、情報漏洩または権限昇格につながる可能性があります。

    CVE-2025-3469

        Web ページ生成中にユーザー入力が適切にサニタイズされませんでした。これにより、クロスサイトスクリプティングを介して情報漏洩や権限昇格につながる可能性があります。

    CVE-2025-6590

        ユーザー入力がパスワードリセットフォームでサニタイズされませんでした。これにより、トランスクルージョンを介してプライベートページの情報漏洩につながる可能性があります。

    CVE-2025-6591

        i18n メッセージからの API `action=feedcontributions` 出力の HTML インジェクション。

    CVE-2025-6593

        {{SITENAME}} 登録メールアドレスが変更され、メールが検証されないメールアドレスに送信され、情報漏洩につながる可能性があります。

    CVE-2025-6594

        Special:ApiSandbox の XSS。既知の問題は 1.39で悪用できませんが、バックポートされた変更によって、いくつかのセキュリティ強化が追加で提供されます。

    CVE-2025-6595

        MultimediaViewer のシステムメッセージを介した蓄積型 XSS。

    CVE-2025-6597

        自動作成が、セキュリティ再認証を目的とするログインとして扱われました。ただし、これは必ずしもリアルタイムのユーザー識別ではありません。セッションクッキーまたは類似の忠実度の低い情報に基づいてユーザーを識別するプロバイダーに基づいている可能性があるためです。CentralAuth セッションクッキー (すべての wiki で有効) を入手した攻撃者が、ユーザーがローカルアカウントをまだ持っていない wiki を閲覧し、自動作成されたアカウントを取得してから、認証情報を変更したり、他の機密性の高い操作を実行したりする可能性があります。

    CVE-2025-6926

        拡張によってログインでの reauth フラグを抑制できるようにします。これは、ログインページを介して実装されたある種の自動ログインを備えた拡張機能に対する回避策です。このログインフローにはユーザーの実際のログインは含まれておらず、一部の中央のログイン状態がコピーされているだけであり、再認証フラグには適切ではないことを示しています。

    CVE-2025-32072

        i18n メッセージからのフィード出力の HTML インジェクション。

    CVE-2025-32696

         reupload-own の制限は、ファイルを戻すことでバイパスされる可能性があります。

    CVE-2025-32698

        LogPager.php における抑制制限の不適切な実施。

    CVE-2025-32699

        Action API での Unicode の正規化により有効化される潜在的な javascript インジェクション攻撃。

    Debian 11 bullseye においては、これらの問題はバージョン 1:1.35.13-1+deb11u4 で修正されました。

    お使いの mediawiki パッケージをアップグレードすることを推奨します。

    mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/mediawiki

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115340	MediaWiki 1.43.x < 1.43.2 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115338	MediaWiki < 1.39.13 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115339	MediaWiki 1.42.x < 1.42.7 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
250242	Linux Distros のパッチ未適用の脆弱性: CVE-2025-6590	Nessus	Misc.	2025/8/15	2026/9/2	medium
241337	Debian dsa-5957: mediawiki - セキュリティ更新	Nessus	Debian Local Security Checks	2025/7/3	2025/7/3	medium
242647	Debian dla-4249: mediaWiki - セキュリティの更新	Nessus	Debian Local Security Checks	2025/7/23	2025/7/23	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium