根据其版本号，远程主机上运行的 MediaWiki 应用程序受到以下漏洞的影响：

- 存在与处理 API 错误有关的输入验证错误，可允许反射型跨站脚本攻击。（CVE-2014-9714、CVE-2015-2941）

- 存在与 SVG 文件上传有关的输入验证错误，可允许绕过缺少的 MIME 类型黑名单进行存储的跨站脚本攻击。
 (CVE-2015-2931)

- 存在与用于“includes/upload/UploadBase.php”脚本中动画元素的 JavaScript 处理有关的输入验证错误，可允许远程攻击者绕过黑名单过滤器。
 (CVE-2015-2932)

- “includes/Html.php”脚本中存在输入验证错误，可允许存储的跨站脚本攻击。(CVE-2015-2933)

- “includes/libs/XmlTypeCheck.php”脚本中的缺陷允许远程攻击者通过对 SVG 实体编码绕过 SVG 过滤器。(CVE-2015-2934)

- “includes/upload/UploadBase.php”脚本中的缺陷允许远程攻击者绕过 SVG 过滤器以及对 wiki 读者去匿名化。此问题的原因是对 CVE-2014-7199 的修复不完整。(CVE-2015-2935)

- 由于对大 PBKDF2 密码进行哈希处理时的缺陷，存在拒绝服务漏洞。
 (CVE-2015-2936)

- 由于解析构建的 XML 数据时触发的 XML 外部实体注入 (XXE) 缺陷，存在拒绝服务漏洞。(CVE-2015-2937)

- 存在与用户提供的自定义 JavaScript 有关的输入验证错误，可允许存储的跨站脚本攻击。(CVE-2015-2938)

- 存在与 Scribunto 扩展有关的输入验证错误，可允许存储的跨站脚本攻击。(CVE-2015-2939)

- 由于存在未正确检查用户权限的缺陷，CheckUser 扩展中的缺陷允许跨站请求伪造攻击。(CVE-2015-2940)

- 由于解析 SVG 或 XMP 文件中构建的 XML 数据时触发的 XML 外部实体 (XXE) 注入缺陷，因此存在拒绝服务漏洞。
 (CVE-2015-2942)

- 由于未正确验证 SVG 文件中输入编码的实体，因此存在跨站脚本漏洞。未经验证远程攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器会话中执行任意脚本代码。
 (OSVDB 130893)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

更新后的 mediawiki 程序包修复了安全漏洞：

在低于 1.23.9 的 MediaWiki 中，可以避开针对内嵌资源的 SVG MIME 黑名单。这允许攻击者在 SVG 中嵌入 JavaScript (CVE-2015-2931)。

在低于 1.23.9 的 MediaWiki 中，用于防止使用动画元素注入 JavaScript 的 SVG 过滤器不正确 (CVE-2015-2932)。

在低于 1.23.9 的 MediaWiki 中，存在一个存储 XSS 漏洞，原因是属性在 MediaWiki Html 类中的扩展方式以及 LanguageConverter 替换 (CVE-2015-2933)。

在低于 1.23.9 的 MediaWiki 中，可借助 Zend 解释器下的实体编码绕过 MediaWiki 的 SVG 过滤。这可被利用来注入 JavaScript (CVE-2015-2934)。

在低于 1.23.9 的 MediaWiki 中，可以绕过针对 SVG 文件的样式过滤以加载外部资源。这可能会侵犯正在查看 SVG 的用户的匿名性 (CVE-2015-2935)。

在低于 1.23.9 的 MediaWiki 中，采用 PBKDF2 进行密码哈希（不是 1.23 版本的默认设置）的 MediaWiki 版本易受到使用极长密码的 DoS 攻击影响 (CVE-2015-2936)。

低于 1.23.9 的 MediaWiki 在 HHVM 和 Zend PHP 下易受到 Quadratic Blowup DoS 攻击影响 (CVE-2015-2937)。

在低于 1.23.9 的 MediaWiki 中，MediaWiki 功能允许用户预览其他用户的自定义 JavaScript，这可能被滥用于权限升级 (CVE-2015-2938)。

在低于 1.23.9 的 MediaWiki 中，未在 Lua 错误回溯中审查函数名，这可能导致 XSS (CVE-2015-2939)。

在低于 1.23.9 的 MediaWiki 中，CheckUser 扩展不阻止表单上的 CSRF 攻击，这允许 checkusers 查找其他用户的敏感信息。由于已记录了对 CheckUser 的使用，CSRF 可能被滥用于诋毁受信任的用户或使日志充满干扰词 (CVE-2015-2940)。

Mediawiki 程序包已更新到版本 1.23.9，修复了这些问题和其他缺陷。

远程主机受到 GLSA-201510-05 中所述漏洞的影响（MediaWiki：多个漏洞）

    在 MediaWiki 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能能够创建拒绝服务情况、获取敏感信息、绕过安全限制以及注入任意 Web 脚本或 HTML。
  变通方案：

    目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
84164	MediaWiki < 1.19.24 / 1.23.9 / 1.24.2 多种漏洞	Nessus	CGI abuses	2015/6/12	2022/4/11	medium
82686	Mandriva Linux 安全公告：mediawiki (MDVSA-2015:200)	Nessus	Mandriva Local Security Checks	2015/4/10	2021/1/14	high
86690	GLSA-201510-05 : MediaWiki：多个漏洞	Nessus	Gentoo Local Security Checks	2015/11/2	2021/1/11	high

检测

插件搜索

medium

high

high