PT-2020-17369 · Wikimedia+2 · Mediawiki+2

Daimona · Publicado 2020-12-21 · Atualizado 2024-03-06 · CVE-2020-35622

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do MediaWiki até a 1.35.1

Extensão GlobalUsage para versões do MediaWiki até a 1.35.1

Descrição

Foi descoberta uma falha na extensão GlobalUsage para o MediaWiki. O arquivo SpecialGlobalUsage.php chama WikiMap::makeForeignLink de forma insegura. A variável $page dentro da função formatItem não estava sendo escapada corretamente, permitindo XSS sob certas condições.

Recomendações

Para versões do MediaWiki até a 1.35.1, atualize para uma versão que escape corretamente a variável $page dentro da função formatItem para evitar XSS.

Para a extensão GlobalUsage, certifique-se de que a função WikiMap::makeForeignLink seja chamada de forma segura e que a variável $page seja escapada corretamente para mitigar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

ALT-PU-2021-1712

ALT-PU-2021-2091

BIT-MEDIAWIKI-2020-35622

CVE-2020-35622

Produtos afetados

Alt Linux

Globalusage Extension

Mediawiki

Referências · 6

• https://osv.dev/vulnerability/CVE-2020-35622 · Aviso do Fabricante
• https://phabricator.wikimedia.org/T268341 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-35622 · Nota de Segurança
• https://gerrit.wikimedia.org/r/c/mediawiki/extensions/GlobalUsage/+/646744 · Correção
• https://osv.dev/vulnerability/BIT-mediawiki-2020-35622 · Aviso do Fabricante
• https://t.me/cvenotify/7517 · Publicação no Telegram