远程主机受到 GLSA-201310-21 中所述漏洞的影响（MediaWiki：多种漏洞）

在 MediaWiki 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可以执行任意代码、执行中间人攻击、获取敏感信息或执行跨站脚本攻击。
 变通方案：

目前无任何已知的变通方案。

- 安全：修复带 2 个 .' 的扩展检测

- 安全：自 1.20 之后已弃用的对“gettoken”参数的支持（action=block 以及 action=unblock）已删除。

- 安全：审查 ResourceLoader 异常消息

-- 当删除文件资产时，清除上游缓存。

- 单元测试套件现在运行 AutoLoader 测试。还修复了 PageORMTableForTesting 类的自动加载条目，即使并未产生影响。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

- 安全：审查 ResourceLoader 异常消息

- 安全：Token-getting 函数将在使用 jsonp 回调时发生故障。

- 安全：修复带 2 个 .' 的扩展检测

- 允许与“*”不同的字符串作为 DatabaseBase::delete() 的条件

-- 当删除文件资产时，清除上游缓存。

- jquery.tablesorter：添加缺少的对 jquery.mwExtension 的依存关系

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

根据其版本号，远程主机上运行的 MediaWiki 实例受到以下漏洞的影响：

- 在 ResourceLoader 中指定无效的语言时，错误消息中会泄露完整安装路径。(CVE-2013-4301)

- 通过 JSONP 访问的 API 模块中存在多种跨站请求伪造漏洞。
 (CVE-2013-4302)

- 由于提交到属性名称的输入未得到正确审查，因此存在一个跨站脚本漏洞。(CVE-2013-4303)

此外，以下扩展包含漏洞，但默认未启用或安装（除非另行说明）：

- 通过操纵“centralauth_User”Cookie，可绕过 CentralAuth 扩展中的认证。
 (CVE-2013-4304)

- SyntaxHighlight GeSHi 扩展受到跨站脚本漏洞的影响，因为用户输入在提交到“example.php”脚本时未得到正确审查。此扩展已安装，但在 MediaWiki 1.21.x 上默认未启用。
 (CVE-2013-4305)

- CheckUser 扩展受到跨站请求伪造漏洞的影响，因为它未正确验证 HTTP 请求。(CVE-2013-4306)

- Wikibase 扩展受到跨站脚本漏洞的影响，因为它未正确转义实体视图的“In other languages”部分中的标签。(CVE-2013-4307)

- LiquidThreads 扩展受到跨站脚本漏洞的影响，因为它未正确审查提交到 LQT 线程主题的用户输入。
 (CVE-2013-4308)

请注意，Nessus 并未测试这些问题，而是依赖于应用程序自我报告的版本号。

在 mediawiki 中发现并修正了多种漏洞：

在 ResourceLoader 中指定了无效的语言时，1.20.7 之前的 MediaWiki 中的完整路径泄露 (CVE-2013-4301)。

1.20.7 之前的 MediaWiki 中的多个 API 模块允许通过 JSONP 访问反 CSRF 标记 (CVE-2013-4302)。

1.20.7 之前的 MediaWiki 中 MediaWiki API 的问题，其中，无效属性名称可被用于具有较早版本的 Internet Explorer 的 XSS (CVE-2013-4303)。

修复了 1.20.6 版本的多个不明安全问题。此版本替换 MediaWiki 1.16.5 版本，该版本在很长时间内是 MBS 1 随附的 EOL 上游。

MediaWiki 删除了 1.18 版本的 Math 扩展，但现在单独提供。它被打包在 mediawiki-math 程序包中。

mediawiki-graphviz 和 mediawiki-ldapauthentication 程序包也已更新以用于新的 MediaWiki 程序包。

更新后的程序包提供这些问题的解决方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
70677	GLSA-201310-21：MediaWiki：多种漏洞	Nessus	Gentoo Local Security Checks	2013/10/29	2021/1/6	high
70028	Fedora 19：mediawiki-1.21.2-1.fc19 (2013-15984)	Nessus	Fedora Local Security Checks	2013/9/21	2021/1/11	medium
70029	Fedora 18：mediawiki-1.19.8-1.fc18 (2013-15994)	Nessus	Fedora Local Security Checks	2013/9/21	2021/1/11	medium
70293	MediaWiki < 1.19.8 / 1.20.7 / 1.21.2 多种漏洞	Nessus	CGI abuses	2013/10/3	2025/5/14	high
69918	Mandriva Linux 安全公告：mediawiki (MDVSA-2013:235)	Nessus	Mandriva Local Security Checks	2013/9/17	2021/1/6	medium
70050	Fedora 20：mediawiki-1.21.2-1.fc20 (2013-15937)	Nessus	Fedora Local Security Checks	2013/9/23	2021/1/11	medium

检测

插件搜索

high

medium

medium

high

medium

medium