MediaWiki < 1.19.8 / 1.20.7 / 1.21.2 多种漏洞

high Nessus 插件 ID 70293

语言：

简介

远程 Web 服务器包含受到多种漏洞影响的应用程序。

描述

根据其版本号，远程主机上运行的 MediaWiki 实例受到以下漏洞的影响：

- 在 ResourceLoader 中指定无效的语言时，错误消息中会泄露完整安装路径。(CVE-2013-4301)

- 通过 JSONP 访问的 API 模块中存在多种跨站请求伪造漏洞。
(CVE-2013-4302)

- 由于提交到属性名称的输入未得到正确审查，因此存在一个跨站脚本漏洞。(CVE-2013-4303)

此外，以下扩展包含漏洞，但默认未启用或安装（除非另行说明）：

- 通过操纵“centralauth_User”Cookie，可绕过 CentralAuth 扩展中的认证。
(CVE-2013-4304)

- SyntaxHighlight GeSHi 扩展受到跨站脚本漏洞的影响，因为用户输入在提交到“example.php”脚本时未得到正确审查。此扩展已安装，但在 MediaWiki 1.21.x 上默认未启用。
(CVE-2013-4305)

- CheckUser 扩展受到跨站请求伪造漏洞的影响，因为它未正确验证 HTTP 请求。(CVE-2013-4306)

- Wikibase 扩展受到跨站脚本漏洞的影响，因为它未正确转义实体视图的“In other languages”部分中的标签。(CVE-2013-4307)

- LiquidThreads 扩展受到跨站脚本漏洞的影响，因为它未正确审查提交到 LQT 线程主题的用户输入。
(CVE-2013-4308)

请注意，Nessus 并未测试这些问题，而是依赖于应用程序自我报告的版本号。