https://lists.wikimedia.org/pipermail/mediawiki-announce/2020-December /000268.html

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

https://lists.wikimedia.org/pipermail/mediawiki-announce/2020-December/000268.html

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.35.1 より前の MediaWiki が、状況によってはログエントリを非表示にする正当な試みをブロックします。MediaWiki:Mainpage を Special:MyLanguage/Main Page に設定すると、は Special:Log のログエントリにアクセスし、その横にある [選択されたログエントリの変更可視性] チェックボックスまたはタグチェックボックスをトグルします。メインへのリダイレクトが存在します。ページの action=historysubmit リビジョン削除フォームが表示される希望の動作の代わり。CVE-2020-35477

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 1.35.1 之前的 MediaWiki 在某些情況下會封鎖隱藏記錄項目的合法嘗試。如果將 MediaWiki:Mainpage 設為 Special:MyLanguage/Main Page、造訪 Special:Log 上的記錄項目並切換旁邊的變更已選記錄項目的可見度核取方塊 (或標籤核取方塊)則會重新導向至頁面的 action=historysubmit (而不是出現修訂刪除表單的預期行為)。 (CVE-2020-35477)

請注意，Nessus 依賴供應商報告的套件存在。

Multiple security issues were discovered in MediaWiki, a website engine for collaborative work, which could result in cross-site scripting or the disclosure of hidden users.

Multiple security issues were discovered in MediaWiki, a website engine for collaborative work.

CVE-2020-15005

Private wikis behind a caching server using the img_auth.php image authorization security feature may have had their files cached publicly, so any unauthorized user could view them.

CVE-2020-35477

Blocks legitimate attempts to hide log entries in some situations.

CVE-2020-35479

Allows XSS via BlockLogFormatter.php. Language::translateBlockExpiry itself does not escape in all code paths. For example, the return of Language::userTimeAndDate is is always unsafe for HTML in a month value.

CVE-2020-35480

Missing users (accounts that don't exist) and hidden users (accounts that have been explicitly hidden due to being abusive, or similar) that the viewer cannot see are handled differently, exposing sensitive information about the hidden status to unprivileged viewers.

For Debian 9 stretch, these problems have been fixed in version 1:1.27.7-1~deb9u7.

We recommend that you upgrade your mediawiki packages.

For the detailed security status of mediawiki please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/mediawiki

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - MediaWiki before 1.35.1 blocks legitimate attempts to hide log entries in some situations. If one sets     MediaWiki:Mainpage to Special:MyLanguage/Main Page, visits a log entry on Special:Log, and toggles the     Change visibility of selected log entries checkbox (or a tags checkbox) next to it, there is a     redirection to the main page's action=historysubmit (instead of the desired behavior in which a revision-     deletion form appears). (CVE-2020-35477)

Note that Nessus relies on the presence of the package as reported by the vendor.

共同作業用のWebサイトエンジンであるMediaWikiに複数のセキュリティ上の問題が発見されました。これにより、クロスサイトスクリプティングまたは非表示ユーザーの漏洩が発生する可能性があります。

共同作業のためのWebサイトエンジンであるMediaWikiで、複数のセキュリティの問題が発見されました：

CVE-2020-15005

img_auth.php画像認証セキュリティ機能を使用しているキャッシングサーバーの背後にあるプライベートwikiは、ファイルにパブリックでキャッシュさせていた可能性があります。このため、権限のないユーザーがファイルを閲覧することが可能でした。

CVE-2020-35477

状況によっては、ログエントリを非表示にする正当な試みをブロックします。

CVE-2020-35479

BlockLogFormatter.phpを介したXSSを許可します。Language: : translateBlockExpiry自体が、すべてのコードパスでエスケープするわけではありません。例えば、Language: : userTimeAndDateの応答は、1か月の値ではHTMLに対して常に安全ではありません。

CVE-2020-35480

ビューアーが閲覧できない見つからないユーザー（アカウントが存在しない）と非表示ユーザー（悪用などのために明示的に非表示にされたアカウント）の処理が異なるため、非表示ステータスに関する機密情報が権限のないユーザーに公開されます。

Debian 9 'Stretch'では、これらの問題はバージョン1:1.27.7-1~deb9u7で修正されています。

お使いのmediawikiパッケージをアップグレードすることを推奨します。

mediawikiの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/mediawiki

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 1.35.1 之前的 MediaWiki 会在某些情况下阻止隐藏日志条目的合法尝试。如果将 MediaWiki:Mainpage 设为 Special:MyLanguage/Main Page、访问 Special:Log 上的日志条目并切换旁边的“更改所选日志条目的可见性”复选框或标签复选框则存在重定向到主要页面页的 action=historysubmit 而不是显示修订删除表单的所需行为。 (CVE-2020-35477)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

在 MediaWiki (一個用於共同作業的網站引擎) 中發現多個安全性問題，可導致跨網站指令碼攻擊或洩漏隱藏的使用者。

在 MediaWiki (一個用於共同作業的網站引擎) 中發現多個安全性問題。

CVE-2020-15005

使用 img_auth.php 影像授權安全性功能的快取伺服器後面的私人 wiki 可能已允許公開快取其檔案，因此任何未經授權的使用者都可以檢視這些檔案。

CVE-2020-35477

在某些情況下，封鎖隱藏記錄項目的合法嘗試。

CVE-2020-35479

允許透過 BlockLogFormatter.php 執行 XSS 攻擊。語系：: translateBlockExpiry 本身不會在所有程式碼路徑中逸出。例如，傳回 Language: : userTimeAndDate 對於使用月份值的 HTML 而言始終是不安全的。

CVE-2020-35480

針對檢視者無法看見的遺漏使用者 (不存在的帳戶) 和隱藏使用者 (因濫用或類似情況而明確隱藏)，以不同方式進行處理，可以將有關隱藏狀態的敏感資訊洩漏給無權限的檢視者。

針對 Debian 9 Stretch，已在 1:1.27.7-1~deb9u7 版本中修正這些問題。

建議您升級 mediawiki 套件。

如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/mediawiki

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在用于协作的网站引擎 MediaWiki 中发现多个安全问题，这些问题可导致跨站脚本或隐藏用户泄露。

在 MediaWiki（用于协同工作的网站引擎）中发现多个安全问题。

CVE-2020-15005

使用 img_auth.php 图像授权安全功能的缓存服务器后面的私有 wiki 可能已公开缓存其文件，因此任何未经授权的用户均可查看它们。

CVE-2020-35477

阻止在某些情况下隐藏日志条目的合法尝试。

CVE-2020-35479

允许通过 BlockLogFormatter.php 的 XSS。语言：: translateBlockExpiry 本身不会在所有代码路径中转义。例如，返回 Language: : userTimeAndDate 对于月份值中的 HTML 而言始终是不安全的。

CVE-2020-35480

对查看者无法查看的缺失用户（不存在的帐户）和隐藏用户（由于滥用或类似情况而被明确隐藏的帐户）的处理方式不同，会将有关隐藏状态的敏感信息泄露给非特权查看者。

对于 Debian 9 stretch，已在版本 1:1.27.7-1~deb9u7 中修复这些问题。

我们建议您升级 mediawiki 程序包。

如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/mediawiki

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
144618	Fedora 33 : mediawiki (2020-0be2d40e13)	Nessus	Fedora Local Security Checks	2020/12/28	2024/1/31	high
144618	Fedora 33：mediawiki（2020-0be2d40e13）	Nessus	Fedora Local Security Checks	2020/12/28	2024/1/31	high
247363	Linux Distros のパッチ未適用の脆弱性: CVE-2020-35477	Nessus	Misc.	2025/8/10	2025/9/2	medium
247363	Linux Distros 未修補的弱點：CVE-2020-35477	Nessus	Misc.	2025/8/10	2025/9/2	medium
144477	Debian DSA-4816-1 : mediawiki - security update	Nessus	Debian Local Security Checks	2020/12/21	2024/2/1	high
144574	Debian DLA-2504-1 : mediawiki security update	Nessus	Debian Local Security Checks	2020/12/23	2024/1/31	medium
247363	Linux Distros Unpatched Vulnerability : CVE-2020-35477	Nessus	Misc.	2025/8/10	2025/9/2	medium
144477	DebianDSA-4816-1：mediaWiki - セキュリティ更新	Nessus	Debian Local Security Checks	2020/12/21	2024/2/1	high
144574	DebianDLA-2504-1：mediaWikiのセキュリティ更新	Nessus	Debian Local Security Checks	2020/12/23	2024/1/31	medium
247363	Linux Distros 未修补的漏洞：CVE-2020-35477	Nessus	Misc.	2025/8/10	2025/9/2	medium
144477	Debian DSA-4816-1：mediawiki - 安全性更新	Nessus	Debian Local Security Checks	2020/12/21	2024/2/1	high
144574	Debian DLA-2504-1：mediawiki 安全性更新	Nessus	Debian Local Security Checks	2020/12/23	2024/1/31	medium
144477	Debian DSA-4816-1：mediawiki - 安全更新	Nessus	Debian Local Security Checks	2020/12/21	2024/2/1	high
144574	Debian DLA-2504-1：mediawiki 安全更新	Nessus	Debian Local Security Checks	2020/12/23	2024/1/31	medium

检测

插件搜索

high

high

medium

medium

high

medium

medium

high

medium

medium

high

medium

high

medium