根据其自我报告的版本号，远程 Web 服务器上托管的 MediaWiki 实例版本低于 1.39.13，或为 1.42.7 之前的 1.42.x 版或 1.43.2 之前的 1.43.x 版。因此该软件受到多个漏洞的影响

- 无法转义 FeedUtils 中的 newpage 消息，从而导致 XSS 攻击。（CVE-2025-32072）

- BlockList 泄露包含抑制用户的行。（CVE-2025-6589）

- 无法转义 HTMLUserTextField 验证错误中的用户名，从而启用 XSS 攻击。（CVE-2025-6590）

- 无法转义 action=feedcontributions API 中的 i18n 消息，从而导致 XSS 攻击。（CVE-2025-6591）

- 帐户创建将临时用户名/IP 与真实用户名关联。（CVE-2025-6592）

- IP 地址泄漏给未经验证的电子邮件。（CVE-2025-6593）

- 提供无效的“format”值时，apisandbox 中发生反射型 XSS。（CVE-2025-6594）

因 MultimediaViewer 中的系统消息引起的存储型 XSS。 (CVE-2025-6595)

- 矢量将 portlet 标签作为 HTML 插入，允许存储 XSS。（CVE-2025-6596）

- 自动创建被视为重新认证的登录。（CVE-2025-6597）

扩展程序无法在登录时屏蔽重新验证标记。 (CVE-2025-6926)

- 自动阻止可见性和隐藏用户名泄漏。（CVE-2025-6927）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5957 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5957-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 7 月 3 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：mediawiki CVE ID：CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072

    在用于协作的网站引擎 MediaWiki 中发现多个安全问题，这些问题可导致跨站脚本、信息泄露、HTML 注入或验证活动的错误追踪。

    对于稳定发行版本 (bookworm)，已在版本 1:1.39.13-1~deb12u1 中修复这些问题。

    我们建议您升级 mediawiki 程序包。

    如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mediawiki

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4249 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4249-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 23 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：mediawiki 版本 : 1:1.35.13-1+deb11u4 CVE ID：CVE-2025-3469 CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072 CVE-2025-32696 CVE-2025-32698 CVE-2025-32699

    在用于协同工作的网站引擎 mediawiki 中发现多个安全漏洞，可导致信息泄露或特权提升。

    CVE-2025-3469

        用户输入在网页生成期间未得到正确审查，这可通过跨站脚本导致信息泄露或特权提升。

    CVE-2025-6590

        在密码重置表单中，用户输入未经审查，这可导致通过嵌入包含泄露专用页面的信息。

    CVE-2025-6591

        API `action=feedcontributions` 输出中因 i18n 消息引起的 HTML 注入。

    CVE-2025-6593

        {{SITENAME}} 注册的电子邮件地址已更改。电子邮件曾发送至未经验证的电子邮件地址，这可能会导致信息泄露。

    CVE-2025-6594

        Special:ApiSandbox 中的 XSS。尽管此已知问题在 1.39 中不可利用，但向后移植的更改会提供一些安全强化措施，以防万一。

    CVE-2025-6595

        因 MultimediaViewer 中的系统消息引起的存储型 XSS。

    CVE-2025-6597

        出于安全重新验证的目的，自动创建被视为登录操作。但是，它不一定涉及实时用户识别，因为它可以基于某些根据会话 Cookie 或类似低精确度信息识别用户的提供程序。控制了 CentralAuth 会话 Cookie（在任何 wiki 上有效）的攻击者可刚好访问用户没有本地帐户的 wiki，自动创建一个帐户，然后更改凭据或执行其他敏感操作。

    CVE-2025-6926

        允许扩展程序在登录时屏蔽重新验证标记。此变通方案适用于通过登录页面实现某种自动登录操作的扩展程序，以指示登录流不涉及用户实际登录，它仅复制了一些中心登录状态，因此不适用于重新验证标记。

    CVE-2025-32072

        摘要输出中因 i18n 消息引起的 HTML 注入。

    CVE-2025-32696

         reupload-own 限制可通过恢复文件绕过。

    CVE-2025-32698

        未在 LogPager.php 中正确强制实施禁止限制。

    CVE-2025-32699

        操作 API 中的 Unicode 规范化可能引起 javascript 注入攻击。

    对于 Debian 11 bullseye，已在 1:1.35.13-1+deb11u4 版本中修复这些问题。

    我们建议您升级 mediawiki 程序包。

    如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mediawiki

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Wikimedia Foundation MediaWiki 中的漏洞。此漏洞与程序文件 includes/api/ApiFeedContributions.Php 相关。此问题影响 MediaWiki* 之前的 * 1.39.13、 1.42.7 1.43.2、 1.44.0。 (CVE-2025-6591)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115340	MediaWiki 1.43.x < 1.43.2 多个漏洞	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115339	MediaWiki 1.42.x < 1.42.7 多个漏洞	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
115338	MediaWiki < 1.39.13 多个漏洞	Web App Scanning	Component Vulnerability	2026/7/28	2026/7/28	medium
241337	Debian dsa-5957：mediawiki - 安全更新	Nessus	Debian Local Security Checks	2025/7/3	2025/7/3	medium
242647	Debian dla-4249：mediawiki - 安全更新	Nessus	Debian Local Security Checks	2025/7/23	2025/7/23	medium
247707	Linux Distros 未修补的漏洞：CVE-2025-6591	Nessus	Misc.	2025/8/10	2026/6/22	high

检测

插件搜索

medium

medium

medium

medium

medium

high