CVE-2025-25287

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات Lakeus من 1.8.0 إلى 1.3.1

إصدارات Lakeus الأقدم من 1.3.1+REL1.39

إصدارات Lakeus الأقدم من 1.3.1+REL1.42

إصدارات Lakeus الأقدم من 1.4.0

الوصف:

Lakeus هو سمة بسيطة تم تطويرها لـ MediaWiki. وهي معرضة لثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة من خلال رسائل النظام الخبيثة، على الرغم من أن تعديل هذه الرسائل يتطلب امتيازات عالية. يمكن للمستخدمين الذين يتمتعون بحقوق (editinterface) تحرير رسائل النظام التي يتم معالجتها بشكل غير سليم لإرسال HTML خام. في حالة lakeus-footermessage، سيؤثر ذلك على جميع المستخدمين إذا كان الخادم مُهيأً للرجوع إلى هذا المستودع. بخلاف ذلك، لا تُستخدم رسائل النظام الموجودة في ملف themeDesigner.js إلا عندما يقوم المستخدم بتمكينها في تفضيلاته.

التوصيات:

بالنسبة لإصدارات Lakeus من 1.8.0 إلى 1.3.1، قم بالتحديث إلى الإصدار 1.3.1+REL1.39 أو أحدث.

بالنسبة لإصدارات Lakeus الأقدم من 1.3.1+REL1.42، قم بالتحديث إلى الإصدار 1.3.1+REL1.42 أو أحدث.

بالنسبة لإصدارات Lakeus الأقدم من 1.4.0، قم بالتحديث إلى الإصدار 1.4.0 أو أحدث.

كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى حقوق (editinterface) لتقليل مخاطر الاستغلال.

تجنب استخدام رسالة النظام lakeus-footermessage حتى يتم حل المشكلة.