CVE-2026-55690
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 interpoluje nazwę nieznanej usługi kontrolowaną przez atakującego do tekstu wyjątku, a następnie zwraca ten tekst jako HTML bez neutralizacji. Zarówno funkcja parsera #ev, jak i formularz evl mogą osiągnąć tę ścieżkę błędu.
Ocena ryzyka
Użytkownik mogący edytować stronę wiki może wstrzyknąć zapisany HTML lub JavaScript do wyjścia błędu, powodując wykonanie kodu w kontekście wiki u odwiedzających. Prowadzi to do przejęcia sesji lub innych działań w imieniu ofiar.
Rekomendacja
Zaktualizuj rozszerzenie EmbedVideo do wersji 4.1.0 lub nowszej. Do czasu aktualizacji rozważ ograniczenie uprawnień edycji stron wiki.
Inne podatności w EmbedVideo Extension
Zobacz wszystkie- CVE-2026-57440Wysokie
EmbedVideo Extension, rozszerzenie MediaWiki dodające funkcję parsera #ev oraz tagi do osadzania wideo z różnych serwisów, w wersjach przed 4.1.0 przy wyłączonym $wgEmbedVideoRequireConsent (nie jest to ustawienie domyślne) przekazuje adresy URL wideo do atrybutu src iframe bez sanityzacji. Przy błędnym adresie URL lub identyfikatorze atrybut src można zamknąć podwójnym cudzysłowem, co umożliwia wstrzyknięcie HTML/JavaScript. Wersja 4.1.0 zawiera poprawkę.
- CVE-2026-55692Wysokie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0, przy domyślnej konfiguracji $wgEmbedVideoRequireConsent, umieszcza JSON w atrybucie data-mw-iframeconfig bez bezpiecznego escapowania apostrofów. Identyfikatory archiveorg oraz adresy URL wistia i sharepoint kontrolowane przez atakującego mogą spowodować zamknięcie atrybutu i wstrzyknięcie atrybutów obsługi zdarzeń do generowanego elementu figure.
- CVE-2026-55691Wysokie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 przekazuje wartość klasy podaną przez użytkownika bezpośrednio do sprintf podczas konstruowania elementu figure. Cudzysłów w wartości klasy może zamknąć atrybut class i wstrzyknąć dowolne atrybuty HTML lub znaczniki do renderowanej strony.
- CVE-2025-59839Wysokie
Rozszerzenie EmbedVideo dla MediaWiki, w wersjach 4.0.0 i wcześniejszych, pozwala na dodawanie dowolnych atrybutów do elementu HTML, co umożliwia trwały XSS poprzez wikitekst. Problem został załatany w commicie 4e075d3.
Oryginalny opis (angielski, źródło NVD)
The EmbedVideo Extension is a MediaWiki extension which adds a parser function called #ev and various parser tags for embedding video clips from various video sharing services. Prior to 4.1.0, EmbedServiceFactory::newFromName in includes/EmbedService/EmbedServiceFactory.php interpolates an attacker-controlled unknown service name into exception text, and includes/EmbedVideo.php returns that text as HTML through the isHtml output path without neutralization. Both the #ev parser function and the evl parser form can reach this error path. A user able to edit a wiki page can inject stored HTML or JavaScript into the error output, causing code to execute in the wiki origin for visitors who render the page. This issue is fixed in version 4.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS