PT-2021-19885 · Mediawiki · Globalnewfiles

Rhinosf1 · Publicado 2021-06-28 · Atualizado 2021-09-20 · CVE-2021-32722

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões da extensão GlobalNewFiles anteriores a 48be7adb70568e20e961ea1cb70904454a671b1d

Descrição

O problema está relacionado a uma vulnerabilidade de consumo descontrolado de recursos na extensão GlobalNewFiles do MediaWiki. Uma grande quantidade de movimentações de páginas em um curto espaço de tempo pode sobrecarregar os servidores de banco de dados devido ao tratamento inadequado do balanceamento de carga e à falta de um índice apropriado.

Recomendações

Para versões anteriores à 48be7adb70568e20e961ea1cb70904454a671b1d, considere evitar o uso da extensão, a menos que limites de taxa adicionais sejam habilitados no nível do MediaWiki ou via PoolCounter / MySQL como uma solução temporária.

Atualize para a versão 48be7adb70568e20e961ea1cb70904454a671b1d, que inclui um patch para a vulnerabilidade.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2021-32722

GHSA-CWV5-C938-5H5H

Produtos afetados

Globalnewfiles

Referências · 9

• https://github.com/miraheze/GlobalNewFiles/security/advisories/GHSA-cwv5-c938-5h5h · Nota
• https://github.com/miraheze/GlobalNewFiles/commit/48be7adb70568e20e961ea1cb70904454a671b1d · Correção
• https://github.com/miraheze/GlobalNewFiles/pull/17 · Correção
• https://t.me/cvenotify/21183 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-32722 · Aviso do Fabricante
• https://t.me/cvenotify/17006 · Publicação no Telegram
• https://phabricator.miraheze.org/T7532 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32722 · Nota de Segurança
• https://t.me/cibsecurity/25764 · Publicação no Telegram