远程主机受到 GLSA-201502-04 中所述漏洞的影响（MediaWiki：多种漏洞）

在 MediaWiki 中发现多种漏洞。请检查下面引用的 CVE 标识符和 MediaWiki 公告以了解详细信息。
 影响：

远程攻击者可能能够以进程的权限执行任意代码，造成拒绝服务情况，获取敏感信息，绕过安全限制以及注入任意 Web 脚本或 HTML。
 变通方案：

目前无任何已知的变通方案。

根据其版本号，远程主机上运行的 MediaWiki 实例受到以下漏洞的影响：

- 存在因未向 JSONP 回调预置注释造成的缺陷。远程攻击者可利用此缺陷，通过使用特别构建的 SWF 文件执行跨站请求伪造攻击。(CVE-2014-5241)

-“mediawiki.page.image.pagination.js”脚本内存在一个跨站脚本漏洞，原因是函数“ajaxifyPageNavigation”调用“loadPage”时，未能验证用户提供的输入。远程攻击者可利用此漏洞，通过使用特别构建的请求，在浏览器与服务器之间的信任关系中执行任意脚本代码。
 (CVE-2014-5242)

- iFrame 保护机制存在与“OutputPage”和“ParserOutput”有关的缺陷，远程攻击者可利用此缺陷发起点击劫持攻击。
 (CVE-2014-5243)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

已发现 MediaWiki（用于协同工作的网站引擎）容易受到 Flash 中 JSONP 注入 (CVE-2014-5241 ) 以及 OutputPage 与 ParserOutput 之间点击劫持 (CVE-2014-5243 ) 的影响。将 MediaWiki 升级到新的上游版本 1.19.18 便可修复这些漏洞，此版本还包括其他变更。

这是从 1.21 分支到 1.23 长期支持分支的主要更新。

-（缺陷 68187）安全：为 jsonp 回调预加注释。- CVE-2014-5241

-（缺陷 66608）安全：针对缺陷 66608 中的 XSS 问题的补丁：生成用于在 JavaScript 中加载新页面的 URL，而不是依赖于单击链接中的 URL。- CVE-2014-5242

-（缺陷 65778）安全：在 OutputPage 与 ParserOutput 之间复制 prevent-clickjacking。- CVE-2014-5243

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
81227	GLSA-201502-04：MediaWiki：多种漏洞	Nessus	Gentoo Local Security Checks	2015/2/9	2021/1/11	critical
77183	MediaWiki < 1.19.18 / 1.22.9 / 1.23.2 多种漏洞	Nessus	CGI abuses	2014/8/13	2025/5/14	medium
77358	Debian DSA-3011-1：mediawiki - 安全更新	Nessus	Debian Local Security Checks	2014/8/25	2021/1/11	medium
77398	Fedora 19：mediawiki-1.23.2-1.fc19 (2014-9548)	Nessus	Fedora Local Security Checks	2014/8/27	2021/1/11	medium
77400	Fedora 20：mediawiki-1.23.2-1.fc20 (2014-9583)	Nessus	Fedora Local Security Checks	2014/8/27	2021/1/11	medium

检测

插件搜索

critical

medium

medium

medium

medium