自己報告のバージョン番号によると、リモート Web サーバーでホストされている MediaWiki のインスタンスは 1.43.9 より前か、1.44.6 より前の 1.44.x、または 1.45.4 より前の 1.45.x です。したがって、以下の多くの脆弱性の影響を受けます。

- LogItem の安全でない逆シリアル化により、ログのインポート中に、細工された XML を介して任意のファイル書き込みとリモートコードの実行 (RCE) が可能になる。(CVE-2026-58025)

- ApiQueryUsers がプライベートユーザー条件の状態を漏洩する。(CVE-2026-58036)

- ユーザーの JavaScript が、pretty-print API 応答で許可される。(CVE-2026-58028)

- rev-deleted のユーザー名が、author クエリで漏洩する。(CVE-2026-58033)

- formatversion=1 の API エラーメッセージが、テキストとして扱われる。(CVE-2026-58032)

- トランスクルージョンされたタイトルは、インクルード可能なタイトルに正しく制限されない。(CVE-2026-58026)

- interwikis 間の ApiUserrights におけるユーザー検索の不十分な制限。(CVE-2026-58024)

- プライベート情報を編集する際に editmyprivateinfo の検証が不十分になる。(CVE-2026-58029)

- LogFormatter の raw パラメーターが、未加工の HTML を出力する。(CVE-2026-58037)

- AbuseFilter が、API で保護されたフィルターのヒットカウントを漏洩する。(CVE-2026-58027)

- SyntaxHighlight_GeSHi が、Pygments 処理の前にラインリンクをエスケープしない。(CVE-2026-58030)

- TextData による EasyTimeline スクリプト注入。(CVE-2026-8857)

- Timeline が生成する SVG に起因する格納型 XSS。(CVE-2026-58038)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ウィキメディア財団の MediaWiki における認証されていない攻撃者への機密情報の漏洩の脆弱性。この脆弱性は、includes/Api/ApiQueryAllUsers.Php、includes/Api/ApiQueryUsers.Php、includes/Permissions/PermissionManager.php、includes/User/UserGroupManager.PHP のプログラムファイルに関連付けられています。(CVE-2026-58036)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115322	MediaWiki < 1.43.9 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115324	MediaWiki 1.45.x < 1.45.4 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115323	MediaWiki 1.44.x < 1.44.6 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
324688	Linux Distros のパッチ未適用の脆弱性: CVE-2026-58036	Nessus	Misc.	2026/7/2	2026/10/30	low

検出

プラグインの検索

medium

medium

medium

low