PT-2021-11622 · Mediawiki+1 · Push Extension+2

Tosfos · Publicado 2020-10-10 · Atualizado 2024-03-06 · CVE-2020-29005

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do MediaWiki até a 1.35

Descrição:

O problema diz respeito à API da extensão Push para MediaWiki, que utilizava texto não criptografado para as credenciais do ApiPush. Isso poderia potencialmente levar à divulgação de informações.

Recomendações:

Para as versões do MediaWiki até a 1.35, considere desativar a extensão Push até que uma versão segura esteja disponível, a fim de evitar a possível divulgação de informações. Restrinja o acesso aos pontos de extremidade da API relacionados à extensão Push para minimizar o risco de exploração. Evite usar credenciais em texto simples na configuração do ApiPush até que o problema seja resolvido.

Correção

Cleartext Transmission of Sensitive Information

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-319

CWE-522

Identificadores relacionados

ALT-PU-2020-3022

ALT-PU-2020-3055

BIT-MEDIAWIKI-2020-29005

CVE-2020-29005

Produtos afetados

Alt Linux

Mediawiki

Push Extension

Referências · 7

• https://phabricator.wikimedia.org/T262724 · Aviso do Fabricante
• https://t.me/cvenotify/9107 · Publicação no Telegram
• https://gerrit.wikimedia.org/r/c/mediawiki/extensions/Push/+/625988 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-mediawiki-2020-29005 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-29005 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-29005 · Aviso do Fabricante
• https://t.me/cvenotify/9084 · Publicação no Telegram