CVE-2025-59839

EmbedVideo Extension, rozszerzenie MediaWiki dodające funkcję parsera #ev oraz tagi do osadzania wideo z różnych serwisów, w wersjach przed 4.1.0 przy wyłączonym $wgEmbedVideoRequireConsent (nie jest to ustawienie domyślne) przekazuje adresy URL wideo do atrybutu src iframe bez sanityzacji. Przy błędnym adresie URL lub identyfikatorze atrybut src można zamknąć podwójnym cudzysłowem, co umożliwia wstrzyknięcie HTML/JavaScript. Wersja 4.1.0 zawiera poprawkę.

Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0, przy domyślnej konfiguracji $wgEmbedVideoRequireConsent, umieszcza JSON w atrybucie data-mw-iframeconfig bez bezpiecznego escapowania apostrofów. Identyfikatory archiveorg oraz adresy URL wistia i sharepoint kontrolowane przez atakującego mogą spowodować zamknięcie atrybutu i wstrzyknięcie atrybutów obsługi zdarzeń do generowanego elementu figure.

Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 przekazuje wartość klasy podaną przez użytkownika bezpośrednio do sprintf podczas konstruowania elementu figure. Cudzysłów w wartości klasy może zamknąć atrybut class i wstrzyknąć dowolne atrybuty HTML lub znaczniki do renderowanej strony.

Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 interpoluje nazwę nieznanej usługi kontrolowaną przez atakującego do tekstu wyjątku, a następnie zwraca ten tekst jako HTML bez neutralizacji. Zarówno funkcja parsera #ev, jak i formularz evl mogą osiągnąć tę ścieżkę błędu.