PT-2024-20753 · Mediawiki · Managewiki

Agentisai + 1 · Publicado 2024-02-09 · Atualizado 2024-09-05 · CVE-2024-25109

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

ManageWiki (versões afetadas não especificadas)

Descrição

O ManageWiki é uma extensão do MediaWiki que permite aos usuários gerenciar wikis. O problema surge porque a Special:ManageWiki não escapa adequadamente as mensagens de interface nas chaves columns e help no descritor do formulário. Essa falha pode ser explorada por um invasor para lançar um ataque de script entre sites. Para explorar essa vulnerabilidade na wiki, o invasor precisaria ter o direito (editinterface).

Recomendações

Para resolver essa vulnerabilidade, os usuários devem aplicar as alterações de código nos commits 886cc6b94, 2ef0f50880 e 6942e8b2c.

Como solução temporária, considere restringir o acesso à página Special:ManageWiki até que as alterações de código sejam aplicadas.

Evite usar as chaves columns e help no descritor de formulário da extensão ManageWiki afetada até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-25109

GHSA-4JR2-JHFM-2R84

Produtos afetados

Managewiki

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/25xxx/CVE-2024-25109.json · Exploit
• https://github.com/miraheze/ManageWiki/security/advisories/GHSA-4jr2-jhfm-2r84 · Aviso do Fabricante
• https://github.com/miraheze/ManageWiki/commit/2ef0f50880d7695ca2874dc8dd515b2b9bbb02e5 · Correção
• https://github.com/miraheze/ManageWiki/commit/6942e8b2c01dc33c2c41a471f91ef3f6ca726073 · Correção
• https://github.com/miraheze/ManageWiki/commit/886cc6b94587f1c7387caa26ca9fe612e01836a0 · Correção
• https://t.me/cvenotify/93322 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1756085867569946847 · Publicação no Twitter
• https://issue-tracker.miraheze.org/T11812 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-25109 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1756127236963340770 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-25109 · Aviso do Fabricante