更新后的 mediawiki 程序包修复了安全漏洞：

在低于 1.23.9 的 MediaWiki 中，可以避开针对内嵌资源的 SVG MIME 黑名单。这允许攻击者在 SVG 中嵌入 JavaScript (CVE-2015-2931)。

在低于 1.23.9 的 MediaWiki 中，用于防止使用动画元素注入 JavaScript 的 SVG 过滤器不正确 (CVE-2015-2932)。

在低于 1.23.9 的 MediaWiki 中，存在一个存储 XSS 漏洞，原因是属性在 MediaWiki Html 类中的扩展方式以及 LanguageConverter 替换 (CVE-2015-2933)。

在低于 1.23.9 的 MediaWiki 中，可借助 Zend 解释器下的实体编码绕过 MediaWiki 的 SVG 过滤。这可被利用来注入 JavaScript (CVE-2015-2934)。

在低于 1.23.9 的 MediaWiki 中，可以绕过针对 SVG 文件的样式过滤以加载外部资源。这可能会侵犯正在查看 SVG 的用户的匿名性 (CVE-2015-2935)。

在低于 1.23.9 的 MediaWiki 中，采用 PBKDF2 进行密码哈希（不是 1.23 版本的默认设置）的 MediaWiki 版本易受到使用极长密码的 DoS 攻击影响 (CVE-2015-2936)。

低于 1.23.9 的 MediaWiki 在 HHVM 和 Zend PHP 下易受到 Quadratic Blowup DoS 攻击影响 (CVE-2015-2937)。

在低于 1.23.9 的 MediaWiki 中，MediaWiki 功能允许用户预览其他用户的自定义 JavaScript，这可能被滥用于权限升级 (CVE-2015-2938)。

在低于 1.23.9 的 MediaWiki 中，未在 Lua 错误回溯中审查函数名，这可能导致 XSS (CVE-2015-2939)。

在低于 1.23.9 的 MediaWiki 中，CheckUser 扩展不阻止表单上的 CSRF 攻击，这允许 checkusers 查找其他用户的敏感信息。由于已记录了对 CheckUser 的使用，CSRF 可能被滥用于诋毁受信任的用户或使日志充满干扰词 (CVE-2015-2940)。

Mediawiki 程序包已更新到版本 1.23.9，修复了这些问题和其他缺陷。

检测

Mandriva Linux 安全公告：mediawiki (MDVSA-2015:200)

high Nessus 插件 ID 82686

未找到变更日志