此更新修复 CVE-2015-2172

- ACL 插件远程 API 组件中存在安全漏洞。在执行 ACL 添加或删除之前，插件无法检查超级用户权限。
 这表示每个具有调用 XMLRPC API 的权限的人也有权设置其自己的 ACL 规则，因此可以避开任何现有规则。更新到 2014-09-29b 版本，其中包含多个补丁，尤其是：

安全：

- CVE-2014-9253 - 通过上传 SFW 文件执行的 XSS

- CVE-2012-6662 - jquery-ui XSS 漏洞

缺陷补丁：

- dokuwiki 需要 php-xml (RHBZ#1061477)

- 可写文件/目录的 SELinux 文件上下文错误 (RHBZ#1064524)

- 终止 httpd 要求 (RHBZ#1164396)

更新到 2014-09-29b 版本，其中包含多个补丁，尤其是：

安全：

- CVE-2014-9253 - 通过上传 SFW 文件执行的 XSS

- CVE-2012-6662 - jquery-ui XSS 漏洞

缺陷补丁：

- dokuwiki 需要 php-xml (RHBZ#1061477)

- 可写文件/目录的 SELinux 文件上下文错误 (RHBZ#1064524)

- 终止 httpd 要求 (RHBZ#1164396)

更新到 2014-09-29b 版本，其中包含多个补丁，尤其是：

安全：

- CVE-2014-9253 - 通过上传 SFW 文件执行的 XSS

- CVE-2012-6662 - jquery-ui XSS 漏洞

缺陷补丁：

- dokuwiki 需要 php-xml (RHBZ#1061477)

- 可写文件/目录的 SELinux 文件上下文错误 (RHBZ#1064524)

- 终止 httpd 要求 (RHBZ#1164396)

更新到 2014-09-29b 版本，其中包含多个补丁，尤其是：

安全：

- CVE-2014-9253 - 通过上传 SFW 文件执行的 XSS

- CVE-2012-6662 - jquery-ui XSS 漏洞

缺陷补丁：

- dokuwiki 需要 php-xml (RHBZ#1061477)

- 可写文件/目录的 SELinux 文件上下文错误 (RHBZ#1064524)

- 终止 httpd 要求 (RHBZ#1164396)

此更新向 EPEL7 添加了 dokuwiki 程序包

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新后的 dokuwiki 程序包修复了安全漏洞：

版本低于 2014-05-05a 的 DokuWiki 中的 inc/template.php 仅检查根命名空间的访问权限，这允许远程攻击者通过媒体文件详情 ajax 调用来访问任意图像 (CVE-2014-8761)。

版本低于 2014-05-05a 的 DokuWiki 中的 ajax_mediadiff 函数允许远程攻击者通过 ns 参数中构建的命名空间访问任意图像 (CVE-2014-8762)。

使用 Active Directory 进行 LDAP 认证时，版本低于 2014-05-05b 的 DokuWiki 允许远程攻击者通过以空 (\0) 字符开头的密码和有效用户名来触发未经认证的绑定，从而绕过认证 (CVE-2014-8763)。

使用 Active Directory 进行 LDAP 认证时，2014-05-05a 和更早版本的 DokuWiki 允许远程攻击者通过用户名和以空 (\0) 字符开头的密码来触发匿名绑定，从而绕过认证 (CVE-2014-8764)。

dokuwiki-2014-09-29a 默认情况下允许 swf (application/x-shockwave-flash) 上传。该漏洞可用于跨站脚本 (XSS) 攻击，可使攻击者将客户端脚本注入其他用户查看的网页中。(CVE-2014-9253)。

dokuwiki-2014-09-29b 热修复源码默认情况下禁用 swf 上传，并修复了 CVE-2014-9253 问题。

在 ACL 插件远程 API 组件中，版本低于 20140929c 的 DokuWiki 中存在安全问题。在执行 ACL 添加或删除之前，插件无法检查超级用户权限。这表示每个具有调用 XMLRPC API 的权限的人也有权设置其自己的 ACL 规则，因此可以避开任何现有规则 (CVE-2015-2172)。

版本低于 20140929d 的 DokuWiki 容易受到用户管理器中跨站脚本 (XSS) 问题的影响。在用户管理器编辑表单中，未正确转义用户的详细信息。这允许注册用户编辑其自己的名称（使用更改配置文件选项），从而包含恶意 JavaScript 代码。超级用户尝试通过用户管理器编辑用户时，会执行该代码。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
82277	Fedora 20：dokuwiki-0-0.24.20140929c.fc20 (2015-3211)	Nessus	Fedora Local Security Checks	2015/3/27	2021/1/11	medium
82485	Mandriva Linux 安全公告：dokuwiki (MDVSA-2015:185)	Nessus	Mandriva Local Security Checks	2015/4/1	2021/1/14	medium
82275	Fedora 22：dokuwiki-0-0.24.20140929c.fc22 (2015-3079)	Nessus	Fedora Local Security Checks	2015/3/27	2021/1/11	medium
82276	Fedora 21：dokuwiki-0-0.24.20140929c.fc21 (2015-3186)	Nessus	Fedora Local Security Checks	2015/3/27	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium