CVE-2023-37302
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Wykryto problem w pliku SiteLinksView.php w Wikibase w MediaWiki do wersji 1.39.3, który umożliwia atak XSS poprzez spreparowany atrybut tytułu odznaki. Problem ten jest związany z brakiem odpowiedniego zabezpieczenia w wbTemplate dla cudzysłowów, które mogą znajdować się w atrybucie tytułu.
Ocena ryzyka
Atak XSS może prowadzić do przejęcia sesji użytkownika lub kradzieży danych, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację MediaWiki do najnowszej wersji, aby usunąć tę podatność oraz przegląd kodu w celu zapewnienia odpowiedniego zabezpieczenia atrybutów w szablonach.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in SiteLinksView.php in Wikibase in MediaWiki through 1.39.3. There is XSS via a crafted badge title attribute. This is also related to lack of escaping in wbTemplate (from resources/wikibase/templates.js) for quotes (which can be in a title attribute).