Daimona

Improper neutralization of input during web page generation allows for Stored Cross-Site Scripting (XSS), a condition where malicious scripts are permanently stored on the target server and later executed in the browser of a user visiting the affected page.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة MediaWiki - ملحق CampaignEvents، الإصدارات 1.43.7 و1.44.4 و1.45.2 الوصف ملحق CampaignEvents الخاص بـ MediaWiki التابع لمؤسسة ويكيميديا معرض لمشكلة «البرمجة النصية عبر المواقع» (XSS) بسبب عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. وهذا يسمح بإدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها المستخدمون الآخرون. التوصيات قم بالتحديث إلى إصدار أحدث من ملحق Mediawiki - CampaignEvents الذي يعالج هذه المشكلة. كحل مؤقت، قم بتنقية جميع المدخلات التي يقدمها المستخدمون بعناية قبل عرضها في صفحات الويب.

يوجد عيب يتعلق بانعدام التفويض في ملحق CampaignEvents الخاص بـ MediaWiki التابع لمؤسسة ويكيميديا، مما قد يتيح إساءة استخدام الامتيازات. تتعلق المشكلة بواجهة برمجة تطبيقات (API) CampaignEvents، حيث قد يؤدي عدم وجود الترخيص إلى الكشف عن عناوين URL للاجتماعات والدردشات.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: MediaWiki - ملحق CampaignEvents، الإصدارات من 1.43.X حتى 1.43.1 الوصف: تؤثر هذه المشكلة على ملحق CampaignEvents في MediaWiki، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS) بسبب عدم معالجة المدخلات بشكل مناسب أثناء إنشاء صفحة الويب. التوصيات: بالنسبة لملحق CampaignEvents الخاص بـ Mediawiki، الإصدارات من 1.43.X حتى 1.43.1، قم بالتحديث إلى الإصدار 1.43.2 أو أحدث لحل المشكلة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات MediaWiki الأقدم من 1.39.12 إصدارات MediaWiki الأقدم من 1.42.6 إصدارات MediaWiki الأقدم من 1.43.1 الوصف: تتعلق المشكلة بـ«التحيد غير السليم للمدخلات أثناء إنشاء صفحة الويب»، والمعروف أيضًا باسم «التنفيذ البرمجي عبر المواقع» (XSS). ويؤثر ذلك على ملفات البرنامج، وتحديدًا ملف includes/htmlform/fields/HTMLMultiSelectField.php. التوصيات: بالنسبة للإصدارات الأقدم من 1.39.12، قم بالتحديث إلى الإصدار 1.39.12 أو أحدث. بالنسبة للإصدارات الأقدم من 1.42.6، قم بالتحديث إلى الإصدار 1.42.6 أو أحدث. بالنسبة للإصدارات الأقدم من 1.43.1، قم بالتحديث إلى الإصدار 1.43.1 أو أحدث.

The issue is related to the CampaignEvents extension in MediaWiki, which is associated with improper input neutralization during web page creation. This can allow a remote attacker to perform cross-site scripting attacks. The Special:EventDetails page is vulnerable to XSS via the x-xss language setting for internationalization.

The issue exists due to the lack of protection for the web page structure in the Phonos extension of MediaWiki. This allows a remote attacker to perform cross-site scripting attacks via the `phonos-purge-needed-error` message. The vulnerability is related to the `PhonosButton.js` file, which enables i18n-based XSS attacks.

The issue is related to a possibility of using XSS in the partial blocks feature of MediaWiki. This could allow a remote attacker to perform cross-site scripting attacks. The vulnerability is located in the BlockLogFormatter.php file within the BlockLogFormatter.

An issue was discovered where the contributions-title, used on Special:Contributions, is used as a page title without escaping. This can cause problems in non-default configurations where a username contains HTML entities, as it won't be escaped.

An issue in the AbuseFilter extension for MediaWiki improperly handled account blocks for certain automatically created MediaWiki user accounts. This allowed malicious users to remain unblocked.

An issue in the AbuseFilter extension for MediaWiki allows the disclosure of suppressed MediaWiki usernames to unprivileged users through the Special:AbuseFilter/examine form.

An issue was discovered in the AbuseFilter extension for MediaWiki, allowing a MediaWiki user who is partially blocked or was unsuccessfully blocked to bypass AbuseFilter and have their edits completed.

An issue was discovered in the GlobalUsage extension for MediaWiki. The `SpecialGlobalUsage.php` file calls `WikiMap::makeForeignLink` unsafely. The `$page` variable within the `formatItem` function was not being properly escaped, allowing for XSS under certain conditions.

The issue allows for XSS via a qbfind message supplied by an administrator in the CologneBlue skin. This can be exploited when an administrator supplies a malicious qbfind message.