在 wiki 引擎 MediaWiki 中发现几个漏洞。
通用漏洞和暴露计划识别以下问题：

- CVE-2013-2031 通过 SVG 文件中有效的 UTF-7 编码序列进行的跨站脚本攻击。

- CVE-2013-4567 和 CVE-2013-4568 Kevin Israel（Wikipedia 用户 PleaseStand）报告了由于 CSS 审查器功能中黑名单不完整而存在的两种注入 JavaScript 的方法。

- CVE-2013-4572 MediaWiki 和 CentralNotice 扩展在自动创建用户时错误设置缓存标头，导致用户的会话 Cookie 被缓存，并被返回给其他用户。

- CVE-2013-6452 RationalWiki 的 Chris 报告称可上传包含外部样式表的 SVG 文件，这可在 XSL 被用于包含 JavaScript 时导致 XSS。

- CVE-2013-6453 在 XML 被视为无效时可绕过 MediaWiki 的 SVG 审查。

- CVE-2013-6454 MediaWiki 的 CSS 审查未过滤 -o-link 属性，这可被利用以在 Opera 12 中执行 JavaScript。

- CVE-2013-6472 MediaWiki 在日志 API、增强型 RecentChanges 和用户监视列表中显示与已删除的页面相关的某些信息。

- CVE-2014-1610 如果启用了对 DjVu（本机处理）或 PDF 文件（结合 PdfHandler 扩展）的文件上传支持，则存在远程代码执行漏洞。默认情况下，MediaWiki 中未启用这两种文件类型。

- CVE-2014-2665 登录表单中的跨站请求伪造：攻击者能够以受害者的身份登录并实施攻击。

检测

Debian DSA-2891-1：mediawiki、mediawiki-extensions - 安全更新

high Nessus 插件 ID 73256

未找到变更日志