MediaWiki < 1.17.3/1.18.2 多种漏洞

medium Nessus 插件 ID 58965

语言：

简介

远程 Web 服务器包含受到多个漏洞影响的 PHP 应用程序。

描述

根据其版本号，远程主机上运行的 MediaWiki 实例受到多种安全漏洞的影响：

- 攻击者可通过针对经授权用户的跨站请求伪造攻击 (XSRF) 来阻断/取消阻断任意用户。(CVE-2012-1578)

- 未经授权的用户可泄露 XSRF 标记，由“user.tokens”模块限制访问失败触发。(CVE-2012-1579)

-攻击者可特别构建一个 URL，如果受害者受到诱骗跟随它，将在受害者的浏览器中执行任意脚本代码。
(CVE-2012-1580)

- 由于伪随机数生成中的一个缺陷，可能可以猜测密码重置标记。
(CVE-2012-1581)

- 存在一个跨站脚本漏洞，原因是 MediaWiki 在将页面创建期间通过 wikitext 解析器传递的输入返回给用户之前不会对输入进行验证。此问题允许创建特别构建的 URL，将在该用户的浏览器中执行任意代码。攻击者还可造成无限循环，从而导致拒绝服务。（CVE-2012-1582、CVE-2012-4885）

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。