Blankeclair

تتعلق المشكلة بحقن SQL عند إعادة تسمية مساحة اسم في Special:ManageWiki/namespaces، وتحديدًا عند استخدام بادئة صفحة تحتوي على حمولة حقن. يحدث هذا في ManageWiki، وهو امتداد لـ MediaWiki لإدارة مواقع الويكي.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: MediaWiki - ملحق Version Compare، الإصدارات من 1.39 إلى 1.43 الوصف: تتعلق المشكلة بـ«التشفير» أو «الهروب» غير السليمين، مما يسمح بـ«التنفيذ البرمجي عبر المواقع» (XSS) في ملحق Version Compare الخاص بـMediaWiki. التوصيات: بالنسبة للإصدارات من 1.39 إلى 1.43، قم بالتحديث إلى إصدار يعالج مشكلة الترميز أو الهروب غير السليم من المخرجات لمنع الهجمات عبر المواقع (XSS). في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: MediaWiki - ملحق AJAX Poll، الإصدارات من 1.39 إلى 1.43 الوصف: تتعلق المشكلة بالتحقق غير الكافي من صحة المدخلات، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS) في ملحق AJAX Poll الخاص بـ MediaWiki. التوصيات: بالنسبة للإصدارات من 1.39 إلى 1.43، قم بالتحديث إلى إصدار يعالج مشكلة التحقق غير الكافي من صحة المدخلات لمنع هجمات البرمجة النصية عبر المواقع (XSS). كحل مؤقت، ضع في اعتبارك تقييد إدخال المستخدمين لتقليل مخاطر الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: MediaWiki - ملحق Tabs، الإصدارات من 1.39 إلى 1.43 الوصف: تتعلق المشكلة بثغرة أمنية تتعلق بعدم التحقق من صحة المدخلات، مما يسمح بحقن التعليمات البرمجية في ملحق Tabs الخاص بـ MediaWiki. التوصيات: بالنسبة للإصدارات من 1.39 إلى 1.43، قم بالتحديث إلى إصدار يتضمن تصحيحًا لهذه المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: MediaWiki - ملحق Confirm Account، الإصدارات من 1.39 إلى 1.43 الوصف: تتعلق المشكلة بترميز أو تهريب غير مناسب للمخرجات، مما يتيح حدوث هجمات البرمجة عبر المواقع (XSS) في ملحق Confirm Account الخاص بـ MediaWiki. ويرجع ذلك إلى مشكلة في تهريب المخرجات. التوصيات: بالنسبة للإصدارات من 1.39 إلى 1.43، يُنصح بتعطيل الملحق المتأثر حتى يتوفر تصحيح لمنع هجمات البرمجة النصية عبر المواقع (XSS). قم بتقييد الوصول إلى المناطق الحساسة في التطبيق التي تستخدم ملحق Confirm Account لتقليل مخاطر الاستغلال.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: MediaWiki - علامات HTML، الإصدارات من 1.39 إلى 1.43 الوصف: تتعلق المشكلة بعدم التحقق الكافي من صحة المدخلات، مما يسمح بحدوث هجمات البرمجة النصية عبر المواقع (XSS) في Mediawiki - HTML Tags. ويرجع ذلك إلى عدم التحقق الكافي من صحة مدخلات المستخدم، مما قد يؤدي إلى تنفيذ نصوص برمجية ضارة على جانب العميل. التوصيات: بالنسبة للإصدارات من 1.39 إلى 1.43، قم بالتحديث إلى إصدار يتضمن تصحيحًا لهذه المشكلة لمنع هجمات «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting). في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: MediaWiki - الملحق: SimpleCalendar، الإصدارات من 1.39 إلى 1.43 الوصف: تتعلق المشكلة بثغرة أمنية تتمثل في «التحقق غير الصحيح من المدخلات»، مما يسمح بتنفيذ هجمات «التنفيذ البرمجي عبر المواقع» (XSS) في MediaWiki - الملحق: SimpleCalendar. التوصيات: بالنسبة للإصدارات من 1.39 إلى 1.43، قم بالتحديث إلى إصدار يتضمن تصحيح ثغرة «التحقق غير الصحيح من المدخلات» لمنع هجمات «التنفيذ البرمجي عبر المواقع» (XSS).

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Lakeus من 1.8.0 إلى 1.3.1 إصدارات Lakeus الأقدم من 1.3.1+REL1.39 إصدارات Lakeus الأقدم من 1.3.1+REL1.42 إصدارات Lakeus الأقدم من 1.4.0 الوصف: Lakeus هو سمة بسيطة تم تطويرها لـ MediaWiki. وهي معرضة لثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة من خلال رسائل النظام الخبيثة، على الرغم من أن تعديل هذه الرسائل يتطلب امتيازات عالية. يمكن للمستخدمين الذين يتمتعون بحقوق `(editinterface)` تحرير رسائل النظام التي يتم معالجتها بشكل غير سليم لإرسال HTML خام. في حالة `lakeus-footermessage`، سيؤثر ذلك على جميع المستخدمين إذا كان الخادم مُهيأً للرجوع إلى هذا المستودع. بخلاف ذلك، لا تُستخدم رسائل النظام الموجودة في ملف themeDesigner.js إلا عندما يقوم المستخدم بتمكينها في تفضيلاته. التوصيات: بالنسبة لإصدارات Lakeus من 1.8.0 إلى 1.3.1، قم بالتحديث إلى الإصدار 1.3.1+REL1.39 أو أحدث. بالنسبة لإصدارات Lakeus الأقدم من 1.3.1+REL1.42، قم بالتحديث إلى الإصدار 1.3.1+REL1.42 أو أحدث. بالنسبة لإصدارات Lakeus الأقدم من 1.4.0، قم بالتحديث إلى الإصدار 1.4.0 أو أحدث. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى حقوق `(editinterface)` لتقليل مخاطر الاستغلال. تجنب استخدام رسالة النظام `lakeus-footermessage` حتى يتم حل المشكلة.

تؤثر هذه المشكلة على ملحق DataTransfer في MediaWiki، مما يسمح بوقوع هجمات التزوير بين المواقع (CSRF) وهجمات البرمجة النصية بين المواقع (XSS) بسبب عدم معالجة المدخلات بشكل مناسب أثناء إنشاء صفحات الويب.

تتعلق المشكلة بعدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يتيح للمهاجمين إدخال نصوص برمجية ضارة في صفحات الويب.

تتعلق المشكلة بـ«التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يسمح بحدوث «التنفيذ البرمجي عبر المواقع» (XSS) في ملحق OpenBadges الخاص بـ Mediawiki.

تتعلق المشكلة بعدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يتيح للمهاجمين إدخال نصوص برمجية ضارة في صفحات الويب، مما قد يؤدي إلى إجراءات غير مصرح بها أو سرقة البيانات.

تتعلق المشكلة بعدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS). وهذا يتيح للمهاجمين إدخال نصوص برمجية ضارة في صفحات الويب، مما قد يؤدي إلى إجراءات غير مصرح بها أو سرقة البيانات.

تنشأ المشكلة بسبب استخدام مدخلات المستخدم غير المُعالجة في بناء HTML، مما يسمح لأي مستخدم قادر على تحرير الصفحات أو عرض نص ويكي بتنفيذ هجمات البرمجة النصية عبر المواقع (XSS) ضد مستخدمين آخرين. على وجه التحديد، في ملف TabberTransclude.php، لا يتم معالجة اسم الصفحة الذي يقدمه المستخدم أثناء الإخراج، مما يسمح باستخدام حمولة XSS كاسم للصفحة. يمكن استغلال هذه الثغرة الأمنية عند عرض نص ويكي ضار، مما قد يسمح للمهاجم بخداع الضحايا للنقر على روابط تؤدي إلى Special:ExpandTemplates تحتوي على نص ويكي ضار في المعلمة `wpInput`.

The issue concerns the ImportDump mediawiki extension, which is designed to automate user import requests. A user's local actor ID is stored in the database to track who made what requests. However, if a user on another wiki has the same actor ID as someone on the central wiki, they can act as if they are the original wiki requester. This can be exploited to create new comments, edit requests, and view private requests.

The issue concerns the CreateWiki extension used for requesting and creating wikis, where the name of requested wikis is not properly escaped on the Special:RequestWikiQueue page. This allows a user to insert arbitrary HTML, which can be displayed in the request wiki queue. If a wiki creator encounters the malicious payload, their user session can be exploited to retrieve deleted wiki requests containing private information. Similarly, this can be abused to view sensitive information by those with the ability to suppress requests.

A Cross-Site Request Forgery (CSRF) issue affects the software, allowing Cross Site Request Forgery attacks.

The issue is related to a Path Traversal vulnerability, which allows improper limitation of a pathname to a restricted directory. This vulnerability exists in The Wikimedia Foundation Mediawiki - CSS Extension, enabling Path Traversal.

The issue affects Mediawiki - Cargo, allowing Cross-Site Scripting (XSS). This is due to an Improper Neutralization of Input During Web Page Generation vulnerability.

The issue is related to improper encoding or escaping of output, which allows code injection. This is a Code Injection Vulnerability in the Mediawiki CSS Extension.