自己報告のバージョン番号によると、リモート Web サーバーでホストされている MediaWiki のインスタンスは 1.39.16 より前か、1.43.6 より前の 1.43.x、1.44.3 より前の 1.44.x、1.45.1 より前の 1.45.x です。したがって、以下の多くの脆弱性の影響を受けます。

- API の format=xml レスポンスにおいて、xslt オプションがデフォルトで有効になっている。(CVE-2025-67484)

- Special:ApiSandbox のワードセパレーターメッセージをエスケープできない。(CVE-2025-67477)

- 自動コメントリンクで角括弧をエスケープすることに失敗する。(CVE-2025-67475)

- 外部リビジョンの作成者の場合、インポーターの IP アドレスが使用されるため、情報漏洩が発生する。(CVE-2025-67476)

- メールエンコードワードで常にコンマをエスケープすることに失敗する。(CVE-2025-67478)

- サニタイザーは、data-* 属性名でのアンダースコアとワイドアンダースコアの使用を禁止しない。(CVE-2025-67479)

- ApiQueryRevisionsBase に読み取り権限チェックがないため、アクセス制御のバイパスが可能。(CVE-2025-67480)

- 複数の保護レベル間の「カンマセパレーター」をエスケープできない。(CVE-2025-67483)

- 「style」属性がクライアント側メッセージ (jqueryMsg) で許可され、XSS が可能になる。(CVE-2025-67481)

- unpack() の Lua セグメンテーション違反により、サービス拒否が引き起こされる。(CVE-2025-67482)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告のバージョン番号によると、リモート Web サーバーでホストされている MediaWiki のインスタンスは 1.39.16 より前か、1.43.6 より前の 1.43.x、1.44.3 より前の 1.44.x、1.45.1 より前の 1.45.x です。したがって、以下の多くの脆弱性の影響を受けます。

- API の format=xml レスポンスにおいて、xslt オプションがデフォルトで有効になっている。(CVE-2025-67484)

- Special:ApiSandbox のワードセパレーターメッセージをエスケープできない。(CVE-2025-67477)

- 自動コメントリンクで角括弧をエスケープすることに失敗する。(CVE-2025-67475)

- 外部リビジョンの作成者の場合、インポーターの IP アドレスが使用されるため、情報漏洩が発生する。 (CVE-2025-67476)

- メールエンコードワードで常にコンマをエスケープすることに失敗する。(CVE-2025-67478)

- サニタイザーは、data-* 属性名でのアンダースコアとワイドアンダースコアの使用を禁止しない。(CVE-2025-67479)

- ApiQueryRevisionsBase に読み取り権限チェックがないため、アクセス制御のバイパスが可能。(CVE-2025-67480)

- 複数の保護レベル間の「カンマセパレーター」をエスケープできない。(CVE-2025-67483)

- 「style」属性がクライアント側メッセージ (jqueryMsg) で許可され、XSS が可能になる。(CVE-2025-67481)

- unpack() の Lua セグメンテーション違反により、サービス拒否が引き起こされる。(CVE-2025-67482)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 12/13 ホストには、dsa-6085 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6085-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 12 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージmediawiki CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656 CVE-2025-67475 CVE-2025-67478 CVE-2025-67479 CVE-2025-67480 CVE-2025-67481 CVE-2025-67482 CVE-2025-67484 CVE-2025-67483 CVE-2025-67477 CVE-2025-61657 CVE-2025-61654 CVE-2025-61652 CVE-2025-61642 CVE-2025-61637 CVE-2025-61636 CVE-2025-61634 CVE-2025-11175

    共同作業用の Web サイトエンジンである MediaWiki で、複数のセキュリティの問題が見つかりました。これは、クロスサイトスクリプティング、情報漏洩、レート制限の欠如またはサービス拒否を引き起こす可能性があります。

    旧安定版oldstableディストリビューションbookbirdでは、これらの問題はバージョン 1:1.39.17-1~deb12u1 で修正されています。

    安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1:1.43.6+dfsg-1~deb13u1 で修正されています。

    お使いの mediawiki パッケージをアップグレードすることを推奨します。

    mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/mediawiki

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Wikimedia Foundation MediaWiki の Web ページ生成中の不適切な入力中性化XSS または「クロスサイトスクリプティング」の脆弱性。この脆弱性は、プログラムファイル resources/src/mediawiki.JqueryMsg/mediawiki.JqueryMsg.Js に関連しています。この問題は MediaWiki に影響を与えます * より前の から、 1.39.161.43.6、 1.44.3、 1.45.1。CVE-2025-67481

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4428アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4428-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 12 月 30 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージmediawikiバージョン 1:1.35.13-1+deb11u6 CVE ID CVE-2025-67475 CVE-2025-67478 CVE-2025-67479 CVE-2025-67480 CVE-2025-67481 CVE-2025-67482 CVE-2025-67484

    共同作業用の Web サイトエンジンである mediawiki に複数のセキュリティの脆弱性が見つかりました。これは、情報漏洩、サービス拒否または権限昇格につながる可能性があります。

    CVE-2025-67475

        自動コメントリンクの角括弧が必ずしもエスケープされていませんでした。

    CVE-2025-67478

        RFC 2822 スタイルヘッダーで値を区切らないコンマがエスケープされなかったため、upstream で値セパレーターとして解釈される可能性があります。

    CVE-2025-67479

        アンダースコアおよびワイドアンダースコアは、「data-*」属性名で常にサニタイズされているとは限りませんでした。

    CVE-2025-67480

        ApiQueryRevisionsBase は、ターゲットページの読み取り権限をチェックしませんでした。

    CVE-2025-67481

        クライアント側のメッセージの「style」属性のサニテーションが不十分ですjqueryMsg。

        このような属性は適切にサニタイズすることが困難で (新しい CSS 機能がブラウザベンダーによって開発されるため、ロジックを常に更新する必要があります)、クライアント側のメッセージでその使用ケースは非常に稀なため、現在許可されていません。

        必要な場合、「class」および「id」が引き続き許可されるため、これらの要素は通常のスタイルシートの対象になる可能性があります。

    CVE-2025-67482

        Scribunto 拡張Lua の一部のビルドに影響する大きな整数を伴う unpack() でのセグメンテーション違反。

    CVE-2025-67484

        editinterface 権限を持つユーザーのための xslt オプションを通じたクロスサイトスクリプティングXSSの脆弱性。xslt オプションがデフォルトで無効になりました。以前の安全でない動作が必要な場合、 を再度有効化するには、$wgEnableUnsafeXsltOptionを真に設定する必要があります。

    Debian 11 Bullseyeでは、これらの問題はバージョン 1:1.35.13-1+deb11u6 で修正されました。

    お使いの mediawiki パッケージをアップグレードすることを推奨します。

    mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/mediawiki

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115328	MediaWiki < 1.39.16 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115329	MediaWiki 1.43.x < 1.43.6 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115330	MediaWiki 1.44.x < 1.44.3 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115331	MediaWiki 1.45.x < 1.45.1 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
279440	Debian dsa-6085mediawiki - セキュリティ更新	Nessus	Debian Local Security Checks	2025/12/19	2026/3/17	high
278372	Linux Distros のパッチ未適用の脆弱性: CVE-2025-67481	Nessus	Misc.	2025/12/11	2026/9/2	medium
280692	Debian dla-4428mediawiki - セキュリティ更新	Nessus	Debian Local Security Checks	2025/12/30	2026/2/19	medium

検出

プラグインの検索

medium

medium

medium

medium

high

medium

medium