BDU:2022-03987 (CVE-2020-35474)

Уязвимость компонентов Html::rawElement и Message::text программного средства для реализации гипертекстовой среды MediaWiki, позволяющая нарушителю провести атаку межсайтового скриптинга (XSS)

Опубликовано: 2022-06-29

Описание

Уязвимость компонентов Html::rawElement и Message::text программного средства для реализации гипертекстовой среды MediaWiki существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести атаку межсайтового скриптинга (XSS)

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Fedora (33)MediaWiki (до 1.35.1)Debian GNU/Linux (11)Red Hat OpenShift Container Platform (3.11)Red Hat OpenShift Container Platform (4)ОСОН ОСнова Оnyx (до 2.1)

Способ устранения

Использование рекомендаций:
Для MediaWiki:
https://lists.wikimedia.org/pipermail/mediawiki-announce/2020-December/000268.html

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2020-35474

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/STT5Z4A3BCXVH3WIPICWU2FP4IPIMUPC/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2020-35474

Для ОСОН Основа:
Обновление программного обеспечения mediawiki до версии 1:1.31.14-1~deb10u1

Оценка CVSS

Балл	6.4 — средняя опасность

Источники и патчи

https://lists.wikimedia.org/pipermail/mediawiki-announce/2020-December/000268.html https://security-tracker.debian.org/tracker/CVE-2020-35474 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/STT5Z4A3BCXVH3WIPICWU2FP4IPIMUPC/https://access.redhat.com/security/cve/cve-2020-35474 https://phabricator.wikimedia.org/T268894 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/

Проверьте безопасность своего сайта и почты → Полная проверка домена