CVE-2026-58519
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W rozszerzeniu Cargo dla MediaWiki wykryto podatność na trwały atak XSS (Cross-Site Scripting). Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wszystkich wersji rozszerzenia przed 3.9.1.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który będzie wykonywany w przeglądarkach innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, przejęcia kont lub rozpowszechniania złośliwego oprogramowania.
Rekomendacja
Należy niezwłocznie zaktualizować rozszerzenie Cargo do wersji 3.9.1 lub nowszej. Przed aktualizacją warto tymczasowo wyłączyć rozszerzenie, jeśli to możliwe.
Inne podatności w MediaWiki - Cargo Extension
Zobacz wszystkie- CVE-2026-14363Krytyczne
Podatność SQL Injection w rozszerzeniu Cargo dla MediaWiki umożliwia atakującemu wstrzyknięcie złośliwego kodu SQL. Problem dotyczy wersji przed 1.43.9, 1.44.6 oraz 1.45.4.
- CVE-2026-58521Krytyczne
W rozszerzeniu Cargo dla MediaWiki wykryto podatność na wstrzykiwanie SQL spowodowaną nieprawidłową neutralizacją specjalnych elementów w zapytaniach SQL. Luka dotyczy wersji przed 1.43.9, 1.44.6 oraz 1.45.4.
- CVE-2026-96878Średnie
Podatność na Reflected XSS w rozszerzeniu Cargo Mediawiki, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 3.9.4 włącznie.
- CVE-2026-96877Średnie
Podatność na Reflected XSS w rozszerzeniu Cargo Mediawiki, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 3.9.4 włącznie.
- CVE-2026-96876Średnie
Podatność na Reflected XSS w rozszerzeniu Cargo Mediawiki, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 3.9.4 włącznie.
- CVE-2026-96875Średnie
Podatność na Stored XSS w rozszerzeniu Cargo Mediawiki, wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Dotyczy wersji do 3.9.4 włącznie.
- CVE-2026-96874Niskie
Rozszerzenie Mediawiki - Cargo do wersji 3.9.4 zawiera podatność typu Stored XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.
- CVE-2026-39841Średnie
Podatność na przechowywany XSS w rozszerzeniu Cargo dla MediaWiki. Brak neutralizacji tagów HTML związanych ze skryptami umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript, który jest wykonywany przy każdym wyświetleniu strony.
- CVE-2026-39840Średnie
Podatność na XSS w rozszerzeniu Cargo dla MediaWiki, umożliwiająca atak na elementy nieskryptowe. Brak neutralizacji danych wejściowych podczas generowania strony pozwala na wstrzyknięcie złośliwego kodu.
- CVE-2026-39839Średnie
Rozszerzenie Cargo dla MediaWiki przed wersją 3.8.7 zawiera podatność na przechowywany XSS z powodu nieprawidłowej neutralizacji tagów HTML związanych ze skryptami. Umożliwia to atakującym wstrzykiwanie złośliwych skryptów, które wykonują się przy każdym wyświetleniu strony.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in The Wikimedia Foundation Mediawiki - Cargo Extension allows Stored XSS. This issue affects Mediawiki - Cargo Extension: from * before 3.9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS