CVE-2026-55690
WysokieCVSS 7.5Streszczenie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 interpoluje nazwę nieznanej usługi kontrolowaną przez atakującego do tekstu wyjątku, a następnie zwraca ten tekst jako HTML bez neutralizacji. Zarówno funkcja parsera #ev, jak i formularz evl mogą osiągnąć tę ścieżkę błędu.
Ocena ryzyka
Użytkownik mogący edytować stronę wiki może wstrzyknąć zapisany HTML lub JavaScript do wyjścia błędu, powodując wykonanie kodu w kontekście wiki u odwiedzających. Prowadzi to do przejęcia sesji lub innych działań w imieniu ofiar.
Rekomendacja
Zaktualizuj rozszerzenie EmbedVideo do wersji 4.1.0 lub nowszej. Do czasu aktualizacji rozważ ograniczenie uprawnień edycji stron wiki.
Inne podatności w EmbedVideo Extension
Zobacz wszystkie- CVE-2026-55692Wysokie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0, przy domyślnej konfiguracji $wgEmbedVideoRequireConsent, umieszcza JSON w atrybucie data-mw-iframeconfig bez bezpiecznego escapowania apostrofów. Identyfikatory archiveorg oraz adresy URL wistia i sharepoint kontrolowane przez atakującego mogą spowodować zamknięcie atrybutu i wstrzyknięcie atrybutów obsługi zdarzeń do generowanego elementu figure.
- CVE-2026-55691Wysokie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 przekazuje wartość klasy podaną przez użytkownika bezpośrednio do sprintf podczas konstruowania elementu figure. Cudzysłów w wartości klasy może zamknąć atrybut class i wstrzyknąć dowolne atrybuty HTML lub znaczniki do renderowanej strony.
Oryginalny opis (angielski, źródło NVD)
The EmbedVideo Extension is a MediaWiki extension which adds a parser function called #ev and various parser tags for embedding video clips from various video sharing services. Prior to 4.1.0, EmbedServiceFactory::newFromName in includes/EmbedService/EmbedServiceFactory.php interpolates an attacker-controlled unknown service name into exception text, and includes/EmbedVideo.php returns that text as HTML through the isHtml output path without neutralization. Both the #ev parser function and the evl parser form can reach this error path. A user able to edit a wiki page can inject stored HTML or JavaScript into the error output, causing code to execute in the wiki origin for visitors who render the page. This issue is fixed in version 4.1.0.