Debian DLA-4640：mediawiki - 安全更新

medium Nessus 插件 ID 321929

语言：

简介

远程 Debian 主机上缺少一个或多个与安全性相关的更新。

描述

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4640 公告中提及的多个漏洞的影响。

------------------------------------------------------------------------- Debian LTS 公告 DLA-4640-1 [email protected] https://www.debian.org/lts/security/Guilhem Moulin 2026 年 6 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

程序包：mediawiki 版本： 1:1.35.13-1+deb11u7 $bookworm_VERSION CVE ID： CVE-2026-34087 CVE-2026-34088 CVE-2026-34093 CVE-2026-34095

协同工作的网站引擎 mediawiki 中发现多个安全漏洞，可能会造成信息泄露或访问控制绕过。

CVE-2026-34087

OATHAuth 扩展：用户 API 泄漏特权用户是否因缺少 2FA 而禁用其用户组。

CVE-2026-34088

RecentChanges 条目通过生成的日志页面 HTML 暴露被禁止的内容。

CVE-2026-34093

Special：UserRights 页面允许从私人 wiki 查看用户权限。

CVE-2026-34095

具有 Special：Mypage 子页面标题的 action=raw 响应具有 ctype=text/javascript 请求时的 Content-Type： text/html，这可能导致跨站脚本。

对于 Debian 11 bullseye，这些问题已在 .35.13-1+deb11u7 版本 1:1中修复。

对于 Debian 12 bookworm，这些问题已在版本 $bookworm_VERSION中修复。

我们建议您升级 mediawiki 程序包。

如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/mediawiki

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。