Debian DLA-3117-1：mediawiki - LTS 安全更新

medium Nessus 插件 ID 165431

语言：

简介

远程 Debian 主机上缺少一个或多个与安全性相关的更新。

描述

远程 Debian 10 主机上安装的多个程序包受到 dla-3117 公告中提及的多个漏洞影响。

- 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现一个问题。因为主页消息的本地原生 interwiki 处理不当，具有 editinterface 权限的用户可触发无限递归。(CVE-2022-28201)

- 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现 XSS 问题。
消息的 widthheight、widthheightpage 和 nbytes 属性未经转义就用于 gallery 或 Special: RevisionDelete 中。(CVE-2022-28202)

- 在 1.35.6 之前版本、1.36.x 版至 1.36.4 版以及 1.37.x 版至 1.37.2 版的 MediaWiki 中发现拒绝服务问题。当存在多个文件时，请求以执行者为条件的 Special:NewFiles 可导致运行时间非常长的查询。(CVE-2022-28203)

- 在 1.35.7 之前版本、1.36.x 版、1.37.x 版至 1.37.3 版以及 1.38.x 版至 1.38.1 版的 MediaWiki 中发现一个问题。允许用户名中包含 JavaScript 负载的配置中可能会发生 XSS。创建帐户后，将页面标题设置为“欢迎”后跟用户名时，未转义用户名：
SpecialCreateAccount: : successfulAction() calls : : showSuccessPage() with a message as second parameter, and OutputPage: : setPageTitle() uses text()。(CVE-2022-34911)

- 在 1.37.3 之前版本以及 1.38.x 版至 1.38.1 版的 MediaWiki 中发现一个问题。Special: Contributions 上使用的 contributions-title 没有转义就用作页面标题。因此，在用户名包含 HTML 实体的非默认配置中，不会对其进行转义。 (CVE-2022-34912)

- MediaWiki 报告：（T292763。CVE-2021-44854）REST API 错误地公开缓存来自私人 wiki 的自动完成搜索结果。（T271037，CVE-2021-44856）在 AbuseFilter 中阻止的标题可通过 Special: ChangeContentModel 创建。（T297322，CVE-2021-44857）未经授权的用户可使用 action=mcrundo 替换任意页面的内容。（T297322，CVE-2021-44858）未经授权的用户可使用各种操作查看私人 wiki 的内容。（T297574，CVE-2021-45038）未经授权的用户可使用回滚操作访问私人 wiki 内容（T293589，CVE-2021-44855）VisualEditor 媒体对话框中的存储型 XSS 盲注漏洞。(T294686) Special: Nuke 实际上不会删除页面。(CVE-2021-44856)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。