根据其版本号，远程 web 服务器上运行的 MediaWiki 应用程序为 1.23.15　之前的　1.23.x、1.26.4　之前的　1.26.x 或 1.27.1　之前的　1.27.x。因此，它受到以下漏洞的影响：

- ApiParse.php 脚本中存在一个信息泄露漏洞，这是因为加载页面内容时，不当检查读取权限所导致。未经认证的远程攻击者可利用此漏洞泄露敏感信息。(CVE-2016-6331)

- 存在一个安全绕过漏洞，这是因为用户会话遭到阻断后，未将其作为超时处理所导致。
 经认证的远程攻击者可利用此漏洞绕过阻断功能。(CVE-2016-6332)

- 由于在执行某些敏感操作时无法要求多个步骤、明确确认或唯一标记，OutputPage.php 脚本中存在一个跨站请求伪造 (XSRF) 漏洞。未经认证的远程攻击者可利用此问题，通过诱使用户跟踪特别构建的链接，对 CSS 内容执行任意编辑。(CVE-2016-6333 / VulnDB 143393)

- Html.php 脚本存在一个跨站脚本 (XSS) 漏洞，此漏洞是因为通过 CSS 子页面预览功能处理不当内联样式区块时，不当验证用户提供的输入所导致。未经验证远程攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2016-6333 / VulnDB 143396)

- Parser.php 脚本存在一个跨站脚本 (XSS) 漏洞，这是因为不当验证未闭合的内部链接输入所导致。未经验证远程攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2016-6334)

- ApiParse.php 脚本存在一个因标题上下文未正确生成标头项目而导致的缺陷。未经认证的远程攻击者可利用此问题造成不明影响。(CVE-2016-6335)

- LocalFile.php 脚本存在一个缺陷，其允许经认证的远程攻击者先删除文件，再取消删除该文件的特定修订，进而绕过已禁止的查看限制。(CVE-2016-6336)

- User.php 脚本存在一个因不当处理扩展挂钩函数而导致的安全绕过漏洞。未经认证的远程攻击者可利用此漏洞绕过权限限制。请注意，此漏洞仅影响 1.27.x。
 (CVE-2016-6337)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

检测

MediaWiki 1.23.x < 1.23.15 / 1.26.x < 1.26.4 / 1.27.x < 1.27.1 多个漏洞

high Nessus 插件 ID 93195

未找到变更日志