CVE-2026-57440
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
EmbedVideo Extension, rozszerzenie MediaWiki dodające funkcję parsera #ev oraz tagi do osadzania wideo z różnych serwisów, w wersjach przed 4.1.0 przy wyłączonym $wgEmbedVideoRequireConsent (nie jest to ustawienie domyślne) przekazuje adresy URL wideo do atrybutu src iframe bez sanityzacji. Przy błędnym adresie URL lub identyfikatorze atrybut src można zamknąć podwójnym cudzysłowem, co umożliwia wstrzyknięcie HTML/JavaScript. Wersja 4.1.0 zawiera poprawkę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod HTML/JavaScript do strony MediaWiki, co może prowadzić do przejęcia sesji użytkowników lub innych ataków w przeglądarce. Ryzyko występuje tylko przy wyłączonej opcji wymagania zgody.
Rekomendacja
Zaktualizuj EmbedVideo Extension do wersji 4.1.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, włącz $wgEmbedVideoRequireConsent lub ogranicz możliwość osadzania wideo z niezaufanych źródeł.
Inne podatności w EmbedVideo Extension
Zobacz wszystkie- CVE-2026-55692Wysokie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0, przy domyślnej konfiguracji $wgEmbedVideoRequireConsent, umieszcza JSON w atrybucie data-mw-iframeconfig bez bezpiecznego escapowania apostrofów. Identyfikatory archiveorg oraz adresy URL wistia i sharepoint kontrolowane przez atakującego mogą spowodować zamknięcie atrybutu i wstrzyknięcie atrybutów obsługi zdarzeń do generowanego elementu figure.
- CVE-2026-55691Wysokie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 przekazuje wartość klasy podaną przez użytkownika bezpośrednio do sprintf podczas konstruowania elementu figure. Cudzysłów w wartości klasy może zamknąć atrybut class i wstrzyknąć dowolne atrybuty HTML lub znaczniki do renderowanej strony.
- CVE-2026-55690Wysokie
Rozszerzenie EmbedVideo dla MediaWiki w wersjach przed 4.1.0 interpoluje nazwę nieznanej usługi kontrolowaną przez atakującego do tekstu wyjątku, a następnie zwraca ten tekst jako HTML bez neutralizacji. Zarówno funkcja parsera #ev, jak i formularz evl mogą osiągnąć tę ścieżkę błędu.
Oryginalny opis (angielski, źródło NVD)
The EmbedVideo Extension is a MediaWiki extension which adds a parser function called #ev and various parser tags for embedding video clips from various video sharing services. Prior to 4.1.0, with $wgEmbedVideoRequireConsent disabled (not the default), the urls for videos are passed into an iframe src attribute without sanitization. When given a malformed url or id, the src attribute can be escaped via double quotes, allowing for html/javascript injection. Version 4.1.0 contains a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS