MediaWiki < 1.18.5/1.19.2 多种漏洞

high Nessus 插件 ID 62358

语言：

简介

远程 Web 服务器包含受到多种漏洞影响的 PHP 应用程序。

描述

根据其版本号，远程主机上运行的 MediaWiki 实例受到多种安全漏洞的影响：

- 存在一个存储的跨站脚本（HTML 注入）漏洞，原因是应用程序无法充分审查用户提供的通过评论提交到不存在的图像的“File:”标签的输入。(CVE-2012-4377)

- 存在多种基于 DOM 的跨站脚本漏洞，原因是应用程序无法充分审查用户向各种语言 Wikipedia 上的“uselang”参数和 JavaScript 小工具提供的输入。(CVE-2012-4378)

- 存在一个跨站请求伪造 (XSRF) 漏洞，原因是应用程序在使用了 X-Frame-Options 标头时未正确验证请求。(CVE-2012-4379)

- 存在一个安全绕过漏洞，原因是应用程序无法阻止为通过“GlobalBlocking”扩展阻断的 IP 地址创建帐户。
(CVE-2012-4380)

- 存在一个安全绕过漏洞，原因是应用程序无法阻止在不存在的帐户的外部认证系统中使用旧密码。(CVE-2012-4381)

- 管理员尝试阻断已被阻断的用户时会发生信息泄露。这样会将阻断理由泄露给第二个管理员，不论该管理员的权限为何。(CVE-2012-4382)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。