CVE-2023-37255
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W rozszerzeniu CheckUser dla MediaWiki do wersji 1.39.3 odkryto problem. W Special:CheckUser, sprawdzenie typu 'get edits' jest podatne na wstrzyknięcie HTML poprzez nagłówek User-Agent w żądaniu HTTP.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu HTML, co może prowadzić do kradzieży danych lub manipulacji interfejsem użytkownika.
Rekomendacja
Zaleca się aktualizację rozszerzenia CheckUser do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów serwera w celu wykrycia potencjalnych prób ataków.
Inne podatności w CheckUser extension for MediaWiki
Zobacz wszystkie- CVE-2023-37303Krytyczne
W rozszerzeniu CheckUser dla MediaWiki do wersji 1.39.3 odkryto problem, który powoduje, że w pewnych sytuacjach próba zablokowania użytkownika kończy się niepowodzeniem po tym, jak przeglądarka zawiesi się na chwilę, co skutkuje komunikatem o błędzie DBQueryDisconnectedError.
- CVE-2023-37300Średnie
Wykryto problem w API CheckUserLog w rozszerzeniu CheckUser dla MediaWiki do wersji 1.39.3. Istnieje nieprawidłowa kontrola dostępu do widoczności ukrytych użytkowników.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in the CheckUser extension for MediaWiki through 1.39.3. In Special:CheckUser, a check of the "get edits" type is vulnerable to HTML injection through the User-Agent HTTP request header.