PT-2021-18245 · Miraheze · Managewiki

Universal-Omega · Publicado 2021-04-28 · Atualizado 2021-05-08 · CVE-2021-29483

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H

**Nome do software vulnerável e versões afetadas:

ManageWiki (versões afetadas não especificadas)

Descrição:

O problema diz respeito à extensão ManageWiki do projeto MediaWiki, onde o endpoint da API ‘wikiconfig’ vazou variáveis de configuração privadas definidas por meio da variável ManageWiki para todos os usuários.

Recomendações:

Para todas as versões afetadas, considere definir $wgAPIListModules[‘wikiconfig’] = ‘ApiQueryDisabled’; ou remova a configuração privada como solução alternativa até que um patch seja aplicado.

Aplique o patch disponível em https://github.com/miraheze/ManageWiki/compare/99f3b2c8af18...befb83c66f5b.patch para resolver o problema.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2021-29483

GHSA-JMC9-RV2F-G8VV

Produtos afetados

Managewiki

Referências · 7

• https://github.com/miraheze/ManageWiki/security/advisories/GHSA-jmc9-rv2f-g8vv · Correção
• https://github.com/miraheze/ManageWiki/commit/befb83c66f5b643e174897ea41a8a46679b26304 · Correção
• https://github.com/miraheze/ManageWiki · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-29483 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-29483 · Aviso do Fabricante
• https://phabricator.miraheze.org/T7213 · Nota
• https://t.me/cvenotify/13898 · Publicação no Telegram