PT-2025-29121 · Mediawiki · Dynamicpagelist3
Markus-Rost
·
Publicado
2025-07-10
·
Atualizado
2025-07-11
·
CVE-2025-53625
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas:
Versões da extensão DynamicPageList3 anteriores à 3.6.4
Descrição:
A extensão DynamicPageList3 para MediaWiki contém uma vulnerabilidade na qual certos parâmetros podem expor nomes de usuário que foram ocultados por meio de exclusão de revisão, supressão ou pela flag de bloqueio
hideuser. Especificamente, os parâmetros adduser, addauthor, addlasteditor e addcontribution exibem nomes de usuário utilizando placeholders como %USER% e %CONTRIBUTOR%, mesmo quando esses nomes de usuário foram ocultados. Além disso, parâmetros como lastrevisionbefore, allrevisionsbefore, firstrevisionsince e allrevisionssince podem expor nomes de usuário suprimidos quando utilizados com placeholders de saída relacionados ao usuário. Parâmetros como createdby, notcreatedby, modifiedby, notmodifiedby, lastmodifiedby e notlastmodifiedby podem revelar indiretamente nomes de usuário ocultados quando utilizados em consultas.Recomendações:
As versões da extensão DynamicPageList3 anteriores à 3.6.4 devem ser atualizadas para a versão 3.6.4 ou posterior.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Dynamicpagelist3