The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Debian Linux - mediawiki - None  Ubuntu Linux - [Add authorizeRead check for extracts endpoint]     (CVE-2025-61653)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Debian Linux - mediawiki - なし Ubuntu Linux - [extracts エンドポイント用にauthorizeRead チェックを追加]CVE-2025-61653

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Debian Linux - mediawiki - None Ubuntu Linux - [添加提取端点的authorizeRead 检查] (CVE-2025-61653)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Debian Linux - mediawiki - None Ubuntu Linux - [新增針對擷取端點的 authorizeRead 檢查] (CVE-2025-61653)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4355 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4355-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     October 31, 2025                              https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : mediawiki     Version        : 1:1.35.13-1+deb11u5     CVE ID         : CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638                      CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643                      CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656

    Multiple security vulnerabilities were found in mediawiki, a website     engine for collaborative work, that could lead to information     disclosure, denial of service or privilege escalation.

    CVE-2025-11173

        OATHAuth extension: Reauthentication for enabling 2FA can be         bypassed by submitting a form in Special:OATHManage.

    CVE-2025-11261

        Stored i18n Cross-site scripting (XSS) vulnerability in         mw.language.listToText.

    CVE-2025-61635

        ConfirmEdit extension: Missing rate limiting in         ApiFancyCaptchaReload.

    CVE-2025-61638

        Parsoid: Validation bypass for `data-` attributes.

    CVE-2025-61639

        Log entries which are hidden from the creation of the entry may be         disclosed to the public recent change entry.

    CVE-2025-61640

        Stored i18n Cross-site scripting (XSS) vulnerability in         Special:RecentChangesLinked.

    CVE-2025-61641

        DDoS vulnerability in QueryAllPages API in miser mode.  The         `maxsize` value is now ignored in that mode.

    CVE-2025-61643

        Suppressed recent changes may be disclosed to the public RCFeeds.

    CVE-2025-61646

        Public Watchlist/RecentChanges pages may disclose hidden usernames         when an individual editor makes consecutive revisions on a single         page, and only some are marked as hidden username.

    CVE-2025-61653

        TextExtracts extension: Information disclosure vulnerability in the         extracts API action endpoint due to missing read permission check.

    CVE-2025-61655

        VisualEditor extension: Stored i18n Cross-site scripting (XSS)         vulnerability in `lastModifiedAt` system messages.

    CVE-2025-61656

        VisualEditor extension: Missing attribute validation for attributes         unwrapped from `data-ve-attributes`.

    For Debian 11 bullseye, these problems have been fixed in version     1:1.35.13-1+deb11u5.

    We recommend that you upgrade your mediawiki packages.

    For the detailed security status of mediawiki please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/mediawiki

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4355 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4355-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包mediawiki 版本 1:1.35.13-1+deb11u5 CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656

    在 mediawiki用于协同工作的网站引擎中发现多个安全漏洞可能导致信息泄露、拒绝服务或权限升级。

    CVE-2025-11173

        OATHAuth 扩展通过在 Special:OATHManage 中提交表单可绕过启用 2FA 所需的重新身份验证。

    CVE-2025-11261

        存储版 i18n mw.language.listToText 中的跨站脚本 (XSS) 漏洞。

    CVE-2025-61635

        confirmEdit 扩展ApiFancyCaptchaReload 中缺少速率限制。

    CVE-2025-61638

        Parsoid“data-”属性的验证绕过。

    CVE-2025-61639

        在条目创建过程中隐藏的日志条目可能会泄露给最近的变更条目。

    CVE-2025-61640

        Special:RecentChangesLinked 中的存储版 i18n 跨站脚本 (XSS) 漏洞。

    CVE-2025-61641

        节约模式下的 QueryAllPages API 中存在 DDoS 漏洞。该模式中现在会忽略“maxsize”值。

    CVE-2025-61643

        禁止的最近变更可能会泄露给公开的 RFeeds。

    CVE-2025-61646

        当个别编辑在单个页面上进行连续修订时公共监视列表/最近变更页面可能会泄露隐藏的用户名并且只有其中一部分被标记为隐藏用户名。

    CVE-2025-61653

        TextExtracts 扩展提取 API 操作端点中存在信息泄露漏洞这是因为缺少读取权限检查所致。

    CVE-2025-61655

        VisualEditor 扩展“lastModifiedAt”系统消息中的存储型 i18n 跨站脚本 (XSS) 漏洞。

    CVE-2025-61656

        VisualEditor 扩展缺少对从“data-ve-attributes”解包的属性的属性验证。

    对于 Debian 11 Bullseye这些问题已在版本 1:1.35.13-1+deb11u5 中修复。

    我们建议您升级 mediawiki 程序包。

    如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mediawiki

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 11 ホストには、dla-4355 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4355-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージmediawikiバージョン 1:1.35.13-1+deb11u5 CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656

    共同作業用の Web サイトエンジンである mediawiki に複数のセキュリティの脆弱性が見つかりました。これは、情報漏洩、サービス拒否または権限昇格につながる可能性があります。

    CVE-2025-11173

        OATHAuth 拡張Special:OATHManage でフォームを送信することで、2FA を有効にするための再認証がバイパスされる可能性があります。

    CVE-2025-11261

        mw.language.listToText の蓄積型 i18n のクロスサイトスクリプティングXSSの脆弱性。

    CVE-2025-61635

        ConfirmEdit 拡張ApiFancyCaptchaReload にレート制限がありません。

    CVE-2025-61638

        Parsoid「data-」属性の検証バイパス。

    CVE-2025-61639

        エントリの作成から非表示になっているログエントリが、公開用の最近の変更エントリに漏洩される可能性があります。

    CVE-2025-61640

        Special:RecentChangesLinked の蓄積型 i18n のクロスサイトスクリプティングXSSの脆弱性。

    CVE-2025-61641

        miser モードでの QueryAllPages API の DDoS 脆弱性。「maxsize」値はそのモードで無視されるようになりました。

    CVE-2025-61643

        抑制された最近の変更が、一般 RCFeeds に漏洩する可能性があります。

    CVE-2025-61646

        個別のエディターが単一のページで連続したリビジョンを行うと、Public Watchlist/RecentChanges ページで、非表示のユーザー名が漏洩する可能性があります。一部のみが、非表示のユーザー名としてマークされます。

    CVE-2025-61653

        TextExtracts 拡張読み取り権限チェックがないため、抽出 API アクションエンドポイントに情報漏洩の脆弱性が存在します。

    CVE-2025-61655

        VisualEditor 拡張「lastModifiedAt」システムメッセージにおける蓄積型 i18n クロスサイトスクリプティングXSSの脆弱性。

    CVE-2025-61656

        VisualEditor 拡張「data-ve-attributes」からラップ解除された属性に対する属性検証がありません。

    Debian 11 Bullseyeでは、これらの問題はバージョン 1:1.35.13-1+deb11u5で修正されました。

    お使いの mediawiki パッケージをアップグレードすることを推奨します。

    mediawiki の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/mediawiki

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4355 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4355-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 mediawiki 版本 1:1.35.13-1+deb11u5 CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656

    在 mediawiki (適用於共同作業的網站引擎) 中發現多個安全性弱點其可導致資訊洩漏、拒絕服務或權限提升。

    CVE-2025-11173

        OATHAuth 延伸模組啟用 2FA 的重新驗證可在 Special:OATHManage 中提交表單來繞過。

    CVE-2025-11261

        mw.language.listToText 中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61635

        ConfirmEdit 延伸模組ApiFancyCaptchaReload 中缺少速率限制。

    CVE-2025-61638

        Parsoid「data-」屬性的驗證繞過。

    CVE-2025-61639

        對建立項目隱藏的記錄項目可能會洩漏給公開的最近變更項目。

    CVE-2025-61640

        Special:RecentChangesLinked 中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61641

        miser 模式下QueryAllPages API 的 DDoS 弱點。現在在該模式下會忽略 `maxsize` 值。

    CVE-2025-61643

        隱藏的最近變更可能會洩漏給公開 RCFeed。

    CVE-2025-61646

        當個別編輯者在單一頁面上進行連續修訂時公開關注清單/RecentChanges 頁面可能洩漏隱藏的使用者名稱而只有部分被標記為隱藏使用者名稱。

    CVE-2025-61653

        TextExtracts 延伸模組因為缺少讀取權限檢查導致擷取 API 動作端點中的資訊洩漏弱點。

    CVE-2025-61655

        VisualEditor 延伸模組「lastModifiedAt」系統訊息中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61656

        VisualEditor 延伸模組從 `data-ve-attributes` 解開包裝的屬性缺少屬性驗證。

    針對 Debian 11 Bullseye這些問題已在版本 1:1.35.13-1+deb11u5 中修正。

    建議您升級 mediawiki 套件。

    如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mediawiki

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
269515	Linux Distros Unpatched Vulnerability : CVE-2025-61653	Nessus	Misc.	2025/10/8	2025/10/27	critical
269515	Linux Distros のパッチ未適用の脆弱性: CVE-2025-61653	Nessus	Misc.	2025/10/8	2025/10/27	critical
269515	Linux Distros 未修补的漏洞：CVE-2025-61653	Nessus	Misc.	2025/10/8	2025/10/27	critical
269515	Linux Distros 未修補的弱點：CVE-2025-61653	Nessus	Misc.	2025/10/8	2025/10/27	critical
272096	Debian dla-4355 : mediawiki - security update	Nessus	Debian Local Security Checks	2025/10/31	2025/10/31	medium
272096	Debian dla-4355mediawiki - 安全更新	Nessus	Debian Local Security Checks	2025/10/31	2025/10/31	medium
272096	Debian dla-4355mediawiki - セキュリティ更新	Nessus	Debian Local Security Checks	2025/10/31	2025/10/31	medium
272096	Debian dla-4355mediawiki - 安全性更新	Nessus	Debian Local Security Checks	2025/10/31	2025/10/31	medium

检测

插件搜索

critical

critical

critical

critical

medium

medium

medium

medium