Ashley

**Nome do Software Vulnerável e Versões Afetadas** Mediawiki - Extensão SocialProfile versões 1.39.X até 1.39.11 Mediawiki - Extensão SocialProfile versões 1.41.X até 1.41.3 Mediawiki - Extensão SocialProfile versões 1.42.X até 1.42.2 **Descrição** O problema permite a exposição de informações sensíveis a um ator não autorizado, possibilitando o uso indevido de funcionalidade. **Recomendações** Para as versões 1.39.X até 1.39.11, atualize para uma versão posterior a 1.39.11. Para as versões 1.41.X até 1.41.3, atualize para uma versão posterior a 1.41.3. Para as versões 1.42.X até 1.42.2, atualize para uma versão posterior a 1.42.2.

**Nome do software vulnerável e versões afetadas** Versões 1.42.1 e anteriores do MediaWiki **Descrição** Foi detectada uma falha no tema Foreground do MediaWiki. Existe uma vulnerabilidade de XSS armazenado nas entradas do menu de nível superior `Sidebar` do MediaWiki. **Recomendações** Para as versões 1.42.1 e anteriores do MediaWiki, considere desativar o tema Foreground até que um patch esteja disponível. Restrinja o acesso às entradas do menu de nível superior `Sidebar` para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do MediaWiki até a 1.42.1 **Descrição** Foi detectada uma falha no tema Nimbus para o MediaWiki. Existe uma vulnerabilidade de XSS armazenado (Stored XSS) nas entradas do menu e submenus de MediaWiki:Nimbus-sidebar. **Recomendações** Para versões até 1.42.1, considere desativar o tema Nimbus até que um patch esteja disponível. Restrinja o acesso ao menu MediaWiki:Nimbus-sidebar e às entradas do submenu para minimizar o risco de exploração. Evite usar o tema Nimbus para o MediaWiki até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Extensão ArticleRatings para versões do MediaWiki até a 1.42.1 **Descrição** Foi descoberta uma falha na extensão ArticleRatings para MediaWiki, na qual a página Special:ChangeRating permite que um ataque CSRF altere dados por meio de uma solicitação GET. Essa falha possibilita ataques de falsificação de solicitação entre sites (CSRF), que podem modificar dados sem o consentimento do usuário. **Recomendações** Para versões até 1.42.1, considere desativar o recurso Special:ChangeRating até que um patch esteja disponível para prevenir ataques CSRF. Restrinja o acesso a esse recurso para minimizar o risco de exploração. Evite usar solicitações GET para alterar dados na extensão afetada até que a falha seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do MediaWiki até a 1.42.1 **Descrição** Foi detectada uma falha no tema Tempo do MediaWiki. Existe uma vulnerabilidade de XSS armazenado nas entradas do menu de nível superior de MediaWiki:Sidebar. **Recomendações** Para versões até 1.42.1, considere desativar o tema Tempo até que um patch esteja disponível. Restrinja o acesso às entradas do menu de nível superior do MediaWiki:Sidebar para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Extensão MediaWikiChat para versões do MediaWiki até a 1.42.1 **Descrição** Foi detectada uma falha na extensão MediaWikiChat para o MediaWiki, na qual pode ocorrer um ataque CSRF nos módulos da API. **Recomendações** Para a extensão MediaWikiChat para versões do MediaWiki até a 1.42.1, considere desativar o acesso aos módulos da API até que um patch esteja disponível. Como solução temporária, restrinja o acesso à extensão MediaWikiChat para minimizar o risco de exploração. Evite usar a extensão MediaWikiChat até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do tema Metrolook do MediaWiki até a 1.42.1 **Descrição** Foi detectada uma falha no tema Metrolook do MediaWiki, na qual ocorre um ataque XSS por meio das entradas do menu de nível superior `MediaWiki:Sidebar`. **Recomendações** Para versões até 1.42.1, considere desativar as entradas do menu de nível superior `MediaWiki:Sidebar` como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao `MediaWiki:Sidebar` para minimizar o risco de exploração. Evite usar o `MediaWiki:Sidebar` nas instâncias afetadas do MediaWiki até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do MediaWiki até a 1.42.1 **Descrição** Foi detectada uma falha no tema GuMaxDD para o MediaWiki. Existe uma vulnerabilidade de XSS armazenado nas entradas do menu de nível superior de MediaWiki:Sidebar. **Recomendações** Para versões até 1.42.1, considere desativar o tema GuMaxDD até que um patch esteja disponível. Restrinja o acesso às entradas do menu de nível superior do MediaWiki:Sidebar para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do MediaWiki anteriores à 1.40.2 Extensão WatchAnalytics no MediaWiki (versões afetadas não especificadas) **Descrição** Uma falha na extensão WatchAnalytics permite que ocorra um ataque XSS por meio do parâmetro da página Special:PageStatistics. Isso pode permitir que um invasor remoto execute ataques de script entre sites. **Recomendações** Para versões do MediaWiki anteriores à 1.40.2, atualize para a versão 1.40.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à página Special:PageStatistics até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** MediaWiki SportsTeams extension versions prior to 1.35.12 MediaWiki SportsTeams extension versions 1.36.x through 1.39.x before 1.39.5 MediaWiki SportsTeams extension versions 1.40.x before 1.40.1 **Description** An issue was discovered in the SportsTeams extension for MediaWiki. The `Special:SportsManagerLogo` and `Special:SportsTeamsManagerLogo` pages do not check for the `sportsteamsmanager` user right, allowing an attacker to affect pages concerned with sports teams. This is related to a lack of permission checks. **Recommendations** For MediaWiki SportsTeams extension versions prior to 1.35.12, update to version 1.35.12 or later. For MediaWiki SportsTeams extension versions 1.36.x through 1.39.x, update to version 1.39.5 or later. For MediaWiki SportsTeams extension versions 1.40.x before 1.40.1, update to version 1.40.1 or later. As a temporary workaround, consider restricting access to the `Special:SportsManagerLogo` and `Special:SportsTeamsManagerLogo` pages until a patch is available.

**Name of the Vulnerable Software and Affected Versions** MediaWiki SportsTeams extension versions 1.35.x through 1.35.11 MediaWiki SportsTeams extension versions 1.36.x through 1.39.4 MediaWiki SportsTeams extension versions 1.40.x through 1.40.0 **Description** An issue was discovered in the SportsTeams extension for MediaWiki. It does not check for the anti-CSRF edit token in "Special:SportsTeamsManager" and "Special:UpdateFavoriteTeams". This could allow a remote attacker to impact the integrity of protected information. **Recommendations** For MediaWiki SportsTeams extension versions 1.35.x through 1.35.11, update to version 1.35.12 or later. For MediaWiki SportsTeams extension versions 1.36.x through 1.39.4, update to version 1.39.5 or later. For MediaWiki SportsTeams extension versions 1.40.x through 1.40.0, update to version 1.40.1 or later. As a temporary workaround, consider disabling access to "Special:SportsTeamsManager" and "Special:UpdateFavoriteTeams" until a patch is available.

**Nome do software vulnerável e versões afetadas** Extensão FanBoxes para versões do MediaWiki até a 1.37.2 **Descrição** A vulnerabilidade permite um ataque CSRF na página Special:UserBoxes. **Recomendações** Para a extensão FanBoxes para versões do MediaWiki até a 1.37.2, atualize para uma versão posterior a 027ffb0b9d6fe0d823810cf03f5b562a212162d4 para resolver o problema. Como solução temporária, considere restringir o acesso à página Special:UserBoxes até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do tema Nimbus do MediaWiki até a 1.37.2 **Descrição** A vulnerabilidade permite XSS em mensagens de links de anúncios. **Recomendações** Para as versões do tema Nimbus do MediaWiki até a 1.37.2, atualize para uma versão posterior a 6f9c8fb868345701d9544a54d9752515aace39df para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões da extensão MediaWiki QuizGame até a 1.37.2 **Descrição** O módulo da API de administração na extensão QuizGame para MediaWiki omite uma verificação do usuário `quizadmin`. **Recomendações** Para as versões da extensão MediaWiki QuizGame até a 1.37.2, atualize para uma versão que inclua a correção, especificamente após o commit 665e33a68f6fa1167df99c0aa18ed0157cdf9f66.

**Nome do software vulnerável e versões afetadas** Versões da extensão MediaWiki Private Domains até a 1.37.2 **Descrição** A vulnerabilidade permite ataques de falsificação de solicitação entre sites (CSRF), possibilitando que um invasor edite páginas que armazenam a configuração da extensão. Isso pode ser feito acionando uma solicitação POST para o endpoint “Special:PrivateDomains”. **Recomendações** Para as versões da extensão MediaWiki Private Domains até a 1.37.2, atualize para uma versão que inclua a correção, especificamente após o commit 1ad65d4c1c199b375ea80988d99ab51ae068f766. Como solução temporária, considere restringir o acesso ao endpoint “Special:PrivateDomains” para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do MediaWiki até a 1.36 Extensão SocialProfile nas versões do MediaWiki até a 1.36 Descrição: Foi descoberta uma vulnerabilidade XSS na extensão SocialProfile do MediaWiki. Um usuário com privilégios e o direito `awardmanage` poderia injetar código HTML e JavaScript arbitrário em vários campos de dados relacionados a presentes em diversas páginas especiais. Isso poderia se propagar facilmente por muitas páginas para muitos usuários. Recomendações: Para versões do MediaWiki até a 1.36, atualize para uma versão que inclua uma correção para esta vulnerabilidade. Para a extensão SocialProfile nas versões do MediaWiki até a 1.36, considere desativar a extensão até que um patch esteja disponível. Restrinja o acesso a páginas especiais relacionadas a presentes para minimizar o risco de exploração. Evite usar o direito `awardmanage` para usuários que não precisam dele, a fim de reduzir o potencial de injeção arbitrária de HTML e JavaScript.

**Nome do software vulnerável e versões afetadas: Versões do MediaWiki até a 1.36 Descrição: Foi detectada uma vulnerabilidade de script entre sites (XSS) na extensão SportsTeams. Em várias páginas especiais, um usuário com privilégios poderia injetar código HTML e JavaScript arbitrário em diversos campos de dados. O ataque poderia se propagar facilmente por muitas páginas, afetando vários usuários. Recomendações: Para versões do MediaWiki até a 1.36, atualize para uma versão que inclua uma correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do MediaWiki até a 1.35.1 Extensão PushToWatch para versões do MediaWiki até a 1.35.1 **Descrição** Foi descoberta uma falha na extensão PushToWatch para o MediaWiki. O formulário principal não implementava um token anti-CSRF, tornando-o vulnerável a ataques CSRF contra `onSkinAddFooterLinks` em `PushToWatch.php`. **Recomendações** Para versões do MediaWiki até a 1.35.1, considere implementar um token anti-CSRF no formulário principal para prevenir ataques CSRF. Para a extensão PushToWatch, restrinja o acesso a `onSkinAddFooterLinks` em `PushToWatch.php` até que um patch esteja disponível. Como solução temporária, considere desativar a função `onSkinAddFooterLinks` em `PushToWatch.php` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões da extensão MediaWiki PollNY até a 1.35 **Descrição** A vulnerabilidade permite um ataque XSS por meio de uma opção de resposta em uma pergunta de enquete. Isso pode ocorrer durante o uso de `Special:CreatePoll` ou `Special:UpdatePoll`. **Recomendações** Para as versões da extensão MediaWiki PollNY até a 1.35, atualize para uma versão que corrija o problema de XSS. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Extensão RandomGameUnit do MediaWiki, versões até a 1.35 **Descrição** O problema diz respeito à extensão RandomGameUnit do MediaWiki, na qual certos dados relacionados a títulos não foram escapados adequadamente. Isso permitiu a manipulação de nomes ou títulos de jogos para gerar um ataque XSS armazenado dentro da extensão quando tipos específicos de jogos eram criados. **Recomendações** Para versões até a 1.35, considere desativar a extensão RandomGameUnit até que uma correção adequada esteja disponível para evitar possíveis ataques XSS armazenados. Restrinja o acesso aos recursos de criação de jogos para minimizar o risco de exploração.