Podatności MediaWiki

Podatność w MediaWiki związana z ujawnieniem wrażliwych informacji osobom nieuprawnionym. Dotyczy plików programowych includes/Skin/Skin.Php.

W podatności CVE-2026-34091 występuje ujawnienie wrażliwych informacji osobom nieuprawnionym w MediaWiki. Dotyczy to wersji przed 1.43.7, 1.44.4 oraz 1.45.2.

W podatności CVE-2026-34088 występuje ujawnienie wrażliwych informacji osobom nieuprawnionym w MediaWiki. Dotyczy to wersji przed 1.43.7, 1.44.4 oraz 1.45.2.

Konwerter językowy w MediaWiki przed wersją 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2 umożliwia ataki typu injection atrybutów za pomocą reguł glosariusza.

Konwerter językowy w MediaWiki przed wersją 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2 umożliwia atakującym zastąpienie tekstu wewnątrz tagów poprzez definicję reguły, po której następuje 'dużo śmieci'.

MediaWiki w wersjach przed 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2, w przypadku skonfigurowanej prywatnej wiki, generuje różne komunikaty o błędach dla nieudanych prób logowania w zależności od istnienia nazwy użytkownika. To umożliwia zdalnym atakującym enumerację nazw kont oraz przeprowadzanie ataków brute-force.

MediaWiki w wersjach przed 1.18.5 oraz 1.19.x przed 1.19.2 pozwala zdalnym atakującym na obejście blokady adresów IP w rozszerzeniu GlobalBlocking oraz na utworzenie konta za pomocą nieokreślonych wektorów.

MediaWiki w wersji 1.27.x przed 1.27.1 może pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń dostępu do sesji poprzez wykorzystanie wywołania funkcji UserGetRights po Session::getAllowedUserRights.

MediaWiki w wersjach przed 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1 nie generuje elementów nagłówka w kontekście danego tytułu, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji za pomocą akcji parsowania do api.php.

MediaWiki w wersjach przed 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1, gdy $wgBlockDisablesLogin jest ustawione na true, może pozwolić zdalnym atakującym na uzyskanie wrażliwych informacji poprzez niewłaściwe zakończenie sesji, gdy konto użytkownika jest zablokowane.

ApiParse w MediaWiki przed wersją 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1 umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń odczytu dla poszczególnych tytułów poprzez akcję parsowania w api.php.

MediaWiki w wersjach przed 1.23.12, 1.24.x przed 1.24.5, 1.25.x przed 1.25.4 oraz 1.26.x przed 1.26.1 nieprawidłowo sanitizuje parametry podczas wywoływania biblioteki cURL. To umożliwia zdalnym atakującym odczyt dowolnych plików poprzez użycie znaku @ w nieokreślonych parametrach tablicy POST.

Funkcja User::matchEditToken w MediaWiki przed wersją 1.23.12 oraz 1.24.x przed 1.24.5, 1.25.x przed 1.25.4 i 1.26.x przed 1.26.1 nie wykonuje porównania tokenów w stałym czasie, co umożliwia zdalnym atakującym odgadnięcie tokena edycji i obejście ochrony CSRF za pomocą ataku czasowego.

Funkcja User::matchEditToken w MediaWiki przed wersją 1.23.12 oraz 1.24.x przed wersją 1.24.5 nie porównuje tokenów w stałym czasie, co umożliwia zdalnym atakującym zgadywanie tokena edycji i obejście ochrony CSRF za pomocą ataku czasowego.

Funkcja ApiBase::getWatchlistUser w MediaWiki przed wersją 1.23.10, 1.24.x przed 1.24.3 oraz 1.25.x przed 1.25.2 nie wykonuje porównania tokenów w stałym czasie, co umożliwia zdalnym atakującym zgadywanie tokena listy obserwowanych i obejście ochrony CSRF za pomocą ataku czasowego.

MediaWiki w wersjach przed 1.19.24, 1.2x przed 1.23.9 oraz 1.24.x przed 1.24.2, przy użyciu HHVM, jest podatny na atak typu denial of service. Atakujący mogą wykorzystać dużą liczbę zagnieżdżonych odniesień encji w plikach SVG lub metadanych XMP w plikach PDF, co prowadzi do zużycia CPU i pamięci.

MediaWiki w wersjach przed 1.19.24, 1.2x przed 1.23.9 oraz 1.24.x przed 1.24.2, używając HHVM lub Zend PHP, pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez plik XML zawierający deklarację encji z długim tekstem zastępczym oraz wieloma odniesieniami do tej encji.

MediaWiki w wersji 1.24.x przed 1.24.2, przy użyciu PBKDF2 do haszowania haseł, umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie CPU) poprzez wprowadzenie długiego hasła.

Funkcja wfMangleFlashPolicy w pliku OutputHandler.php w MediaWiki przed wersją 1.19.22, 1.20.x do 1.22.x przed 1.22.14 oraz 1.23.x przed 1.23.7 umożliwia zdalnym atakującym przeprowadzenie ataków typu PHP object injection poprzez spreparowany ciąg zawierający <cross-domain-policy> w żądaniu w formacie PHP.

MediaWiki w wersjach przed 1.19.10, 1.2x przed 1.21.4 oraz 1.22.x przed 1.22.1 nieprawidłowo sanitizuje pliki SVG, co umożliwia zdalnym atakującym wywołanie nieokreślonego wpływu poprzez nieprawidłowy XML.

Podatność na deserializację niezaufanych danych w MediaWiki. Problem występuje w plikach WikiImporter.php, WikiRevision.php oraz LogEntryBase.php. Luka dotyczy wersji przed 1.46.0, 1.45.4, 1.44.6 i 1.43.9.

W api.php w MediaWiki przed wersją 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2 występuje podatność typu Reflected File Download.

Funkcja User::randomPassword w MediaWiki przed wersją 1.23.12 oraz w wersjach 1.24.x przed 1.24.5, 1.25.x przed 1.25.4 i 1.26.x przed 1.26.1 generuje hasła krótsze niż $wgMinimalPasswordLength, co ułatwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.

W MediaWiki wykryto podatność na ataki XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wielu plików źródłowych, w tym Language.php i różnych formaterów logów.

Podatność w MediaWiki umożliwia nieautoryzowanemu aktorowi dostęp do wrażliwych informacji poprzez pliki API i zarządzania uprawnieniami.

Podatność w MediaWiki umożliwia nieautoryzowanemu aktorowi dostęp do wrażliwych informacji. Problem występuje w pliku includes/Actions/InfoAction.php.

W MediaWiki przed wersjami 1.46.0, 1.45.4, 1.44.6 i 1.43.9 występuje podatność na ataki XSS w pliku resources/src/mediawiki.Api/index.js. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron internetowych umożliwia wstrzyknięcie złośliwego skryptu.

Podatność w MediaWiki umożliwia nieautoryzowany dostęp do funkcji uwierzytelniania i zarządzania kontami. Problem dotyczy plików API i stron specjalnych odpowiedzialnych za zmianę, łączenie i usuwanie danych uwierzytelniających.

Podatność w MediaWiki umożliwia nieautoryzowanemu aktorowi dostęp do wrażliwych informacji. Problem występuje w pliku includes/Parser/Parser.php i dotyczy wersji przed 1.46.0, 1.45.4, 1.44.6 oraz 1.43.9.

Podatność w MediaWiki umożliwia nieautoryzowanemu aktorowi dostęp do wrażliwych informacji poprzez plik includes/Api/ApiUserrights.php. Problem dotyczy wersji przed 1.46.0, 1.45.4, 1.44.6 oraz 1.43.9.

W MediaWiki wykryto podatność na ataki XSS (Cross-site Scripting) w plikach programu resources/src/mediawiki.Special.Block/SpecialBlock.Vue. Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.

Podatność XSS w MediaWiki występuje w pliku ApiSandboxLayout.Js, umożliwiając atakującemu wstrzyknięcie złośliwego skryptu do strony. Problem dotyczy wersji od 1.46.0-rc.0 do 1.46.0.

Rozszerzenie GrowthExperiments w MediaWiki zawiera pętlę nieskończoną, która umożliwia wykorzystanie wyścigu czasu (TOCTOU). Podatność została załatana tylko w gałęzi `master`.

Rozszerzenie GlobalWatchlist w MediaWiki od Wikimedia Foundation jest podatne na atak XSS poprzez niewłaściwą neutralizację danych wejściowych. Problem został naprawiony w gałęzi master oraz w wersjach 1.43, 1.44 i 1.45.

Rozszerzenie ReportIncident w MediaWiki firmy Wikimedia Foundation zawiera podatność polegającą na alokacji zasobów bez ograniczeń, co umożliwia atak HTTP DoS. Poprawka została wprowadzona tylko w gałęzi master.

Podatność w MediaWiki 1.2.0 umożliwia niezautoryzowanym atakującym przeprowadzenie ataku typu odmowa usługi (DoS) poprzez przesłanie zbyt dużego wejścia do funkcji wyszukiwania. Atakujący może wkleić duży bufor powtarzających się znaków w pasku wyszukiwania, co powoduje awarię aplikacji.

W MediaWiki przed wersją 1.35.11 oraz w wersjach 1.36.x do 1.38.x przed 1.38.7, 1.39.x przed 1.39.4 i 1.40.x przed 1.40.1 odkryto problem, który pozwala na obejście listy złych obrazów (badFile) poprzez użycie parametru thumb (Manualthumb) w składni pliku.