Fedora 20：mediawiki-1.21.3-1.fc20 (2013-22047)

medium Nessus 插件 ID 71407

语言：

简介

远程 Fedora 主机缺少安全更新。

描述

- Kevin Israel（Wikipedia 用户 PleaseStand）发现并报告了两个用于在 CSS 中注入 JavaScript 的矢量，这可绕过 MediaWiki 的黑名单（CVE-2013-4567、CVE-2013-4568）。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=55332>

- 调试网站问题时的内部审查发现，在自动创建用户时，MediaWiki 和 CentralNotice 扩展错误设置缓存标头，导致用户的会话 Cookie 被缓存，并且返回给其他用户 (CVE-2013-4572)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=53032>

此外，已更新以下扩展以修复安全问题：

- CleanChanges：MediaWiki 管理员 Teles 报告，修订删除的 IP 在使用此扩展时未正确隐藏 (CVE-2013-4569)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=54294>

- ZeroRatedMobileAccess：Tomasz Chlebowski 报告了一个 XSS 漏洞 (CVE-2013-4573)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=55991>

- CentralAuth：MediaWiki 开发人员 Platonides 报告了 CentralAuth 中的登录 CSRF (CVE-2012-5394)。
<https://bugzilla.wikimedia.org/show_bug.cgi?id=40747>

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。