BDU:2022-07044 (CVE-2020-25828)

Уязвимость функции mw.message.parse() программного средства для реализации гипертекстовой среды MediaWiki, позволяющая нарушителю провести атаку межсайтового скриптинга (XSS)

Опубликовано: 2022-11-30

Описание

Уязвимость функции mw.message.parse() программного средства для реализации гипертекстовой среды MediaWiki существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга (XSS)

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Fedora (33)Debian GNU/Linux (11)MediaWiki (до 1.31.10)MediaWiki (от 1.32.0 до 1.34.4)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций:

Для MediaWiki:
https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/message/MUBKHDTKOOFV2IOS4QS3LFINAXBT5INX/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RTTPZ7XMDS66I442OLLHXBDNP2LCBJU6/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2020-25828

Для ОС ОН «Стрелец»:
Обновление программного обеспечения mediawiki до версии 1:1.27.7-1+deb9u11

Оценка CVSS

Балл	6.4 — средняя опасность

Источники и патчи

https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/message/MUBKHDTKOOFV2IOS4QS3LFINAXBT5INX/https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/message/MUBKHDTKOOFV2IOS4QS3LFINAXBT5INX/https://lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wikimedia.org/message/3VXQLPPJ77EZS3V4GMLWRHFDMOFPAX5H/https://security-tracker.debian.org/tracker/CVE-2020-25828 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RTTPZ7XMDS66I442OLLHXBDNP2LCBJU6/https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023

Проверьте безопасность своего сайта и почты → Полная проверка домена