CVE-2026-58029
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w MediaWiki umożliwia nieautoryzowany dostęp do funkcji uwierzytelniania i zarządzania kontami. Problem dotyczy plików API i stron specjalnych odpowiedzialnych za zmianę, łączenie i usuwanie danych uwierzytelniających.
Ocena ryzyka
Atakujący może potencjalnie modyfikować dane uwierzytelniające użytkowników, co prowadzi do przejęcia kont lub naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować MediaWiki do wersji 1.46.0, 1.45.4, 1.44.6 lub 1.43.9 w zależności od używanej gałęzi.
Inne podatności w MediaWiki
Zobacz wszystkie- CVE-2026-34092Wysokie
Podatność w MediaWiki związana z ujawnieniem wrażliwych informacji osobom nieuprawnionym. Dotyczy plików programowych includes/Skin/Skin.Php.
- CVE-2026-34091Wysokie
W podatności CVE-2026-34091 występuje ujawnienie wrażliwych informacji osobom nieuprawnionym w MediaWiki. Dotyczy to wersji przed 1.43.7, 1.44.4 oraz 1.45.2.
- CVE-2026-34088Wysokie
W podatności CVE-2026-34088 występuje ujawnienie wrażliwych informacji osobom nieuprawnionym w MediaWiki. Dotyczy to wersji przed 1.43.7, 1.44.4 oraz 1.45.2.
- CVE-2017-8815Wysokie
Konwerter językowy w MediaWiki przed wersją 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2 umożliwia ataki typu injection atrybutów za pomocą reguł glosariusza.
- CVE-2017-8814Wysokie
Konwerter językowy w MediaWiki przed wersją 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2 umożliwia atakującym zastąpienie tekstu wewnątrz tagów poprzez definicję reguły, po której następuje 'dużo śmieci'.
- CVE-2017-8810Wysokie
MediaWiki w wersjach przed 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2, w przypadku skonfigurowanej prywatnej wiki, generuje różne komunikaty o błędach dla nieudanych prób logowania w zależności od istnienia nazwy użytkownika. To umożliwia zdalnym atakującym enumerację nazw kont oraz przeprowadzanie ataków brute-force.
- CVE-2012-4380Wysokie
MediaWiki w wersjach przed 1.18.5 oraz 1.19.x przed 1.19.2 pozwala zdalnym atakującym na obejście blokady adresów IP w rozszerzeniu GlobalBlocking oraz na utworzenie konta za pomocą nieokreślonych wektorów.
- CVE-2016-6337Wysokie
MediaWiki w wersji 1.27.x przed 1.27.1 może pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń dostępu do sesji poprzez wykorzystanie wywołania funkcji UserGetRights po Session::getAllowedUserRights.
- CVE-2016-6335Wysokie
MediaWiki w wersjach przed 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1 nie generuje elementów nagłówka w kontekście danego tytułu, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji za pomocą akcji parsowania do api.php.
- CVE-2016-6332Wysokie
MediaWiki w wersjach przed 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1, gdy $wgBlockDisablesLogin jest ustawione na true, może pozwolić zdalnym atakującym na uzyskanie wrażliwych informacji poprzez niewłaściwe zakończenie sesji, gdy konto użytkownika jest zablokowane.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in Wikimedia Foundation MediaWiki. This vulnerability is associated with program files includes/Api/ApiChangeAuthenticationData.Php, includes/Api/ApiLinkAccount.Php, includes/Api/ApiRemoveAuthenticationData.Php, includes/Specials/SpecialLinkAccounts.Php, includes/Specials/SpecialUnlinkAccounts.Php. This issue affects MediaWiki: from * before 1.46.0, 1.45.4, 1.44.6, 1.43.9.