Daimona

A neutralização inadequada de entrada durante a geração de páginas web permite o Cross-Site Scripting (XSS) Armazenado, uma condição em que scripts maliciosos são armazenados permanentemente no servidor alvo e posteriormente executados no navegador de um usuário que visita a página afetada.

Name of the Vulnerable Software and Affected Versions Mediawiki - CampaignEvents Extension versões 1.43.7, 1.44.4 e 1.45.2 Description A Wikimedia Foundation Mediawiki - CampaignEvents Extension é suscetível a um problema de scripting cross-site (XSS) devido à neutralização inadequada de entrada durante a geração de páginas web. Isso permite a injeção de scripts maliciosos em páginas web visualizadas por outros usuários. Recommendations Atualize para uma versão mais recente do Mediawiki - CampaignEvents Extension que resolva este problema. Como medida temporária, sanitize cuidadosamente todas as entradas fornecidas pelo usuário antes de renderizá-las em páginas web.

Existe uma falha de ausência de autorização na extensão CampaignEvents do MediaWiki da Wikimedia Foundation, potencialmente permitindo abuso de privilégios. A questão refere-se à API do CampaignEvents, onde a ausência de autorização poderia expor URLs de reuniões e chats.

Nome do Software Vulnerável e Versões Afetadas: Mediawiki - Extensão CampaignEvents versões 1.43.X até 1.43.1 Descrição: O problema afeta a Extensão CampaignEvents do Mediawiki, permitindo Cross-Site Scripting (XSS) devido à neutralização inadequada de entrada durante a geração da página web. Recomendações: Para a Extensão CampaignEvents do Mediawiki versões 1.43.X até 1.43.1, atualize para a versão 1.43.2 ou posterior para resolver o problema.

Nome do Software Vulnerável e Versões Afetadas: Versões do MediaWiki anteriores à 1.39.12 Versões do MediaWiki anteriores à 1.42.6 Versões do MediaWiki anteriores à 1.43.1 Descrição: O problema está relacionado a uma Neutralização Imprópria de Entrada Durante a Geração de Página Web, também conhecida como Cross-site Scripting (XSS). Isso afeta arquivos do programa, especificamente includes/htmlform/fields/HTMLMultiSelectField.php. Recomendações: Para versões anteriores à 1.39.12, atualize para a versão 1.39.12 ou posterior. Para versões anteriores à 1.42.6, atualize para a versão 1.42.6 ou posterior. Para versões anteriores à 1.43.1, atualize para a versão 1.43.1 ou posterior.

O problema está relacionado à extensão CampaignEvents no MediaWiki, que está associada à neutralização inadequada de entradas durante a criação de páginas da web. Isso pode permitir que um invasor remoto execute ataques de script entre sites (XSS). A página Special:EventDetails está vulnerável a XSS por meio da configuração de idioma x-xss para internacionalização.

O problema existe devido à falta de proteção da estrutura da página web na extensão Phonos do MediaWiki. Isso permite que um invasor remoto execute ataques de cross-site scripting (XSS) por meio da mensagem `phonos-purge-needed-error`. A vulnerabilidade está relacionada ao arquivo `PhonosButton.js`, que possibilita ataques XSS baseados em i18n.

The issue is related to a possibility of using XSS in the partial blocks feature of MediaWiki. This could allow a remote attacker to perform cross-site scripting attacks. The vulnerability is located in the BlockLogFormatter.php file within the BlockLogFormatter.

Foi detectada uma falha em que o atributo `contributions-title`, utilizado na página Special:Contributions, é usado como título da página sem ser escapado. Isso pode causar problemas em configurações não padrão nas quais um nome de usuário contém entidades HTML, pois elas não serão escapadas.

Um problema na extensão AbuseFilter para o MediaWiki tratava incorretamente os bloqueios de contas para certas contas de usuário do MediaWiki criadas automaticamente. Isso permitia que usuários mal-intencionados permanecessem desbloqueados.

Uma falha na extensão AbuseFilter para MediaWiki permite a divulgação de nomes de usuário ocultos do MediaWiki a usuários sem privilégios por meio do formulário Special:AbuseFilter/examine.

Foi detectada uma falha na extensão AbuseFilter do MediaWiki, permitindo que um usuário do MediaWiki que esteja parcialmente bloqueado ou cujo bloqueio não tenha sido bem-sucedido contorne o AbuseFilter e conclua suas edições.

Foi descoberta uma falha na extensão GlobalUsage para o MediaWiki. O arquivo `SpecialGlobalUsage.php` chama `WikiMap::makeForeignLink` de forma insegura. A variável `$page` dentro da função `formatItem` não estava sendo escapada corretamente, permitindo XSS sob certas condições.

A vulnerabilidade permite um ataque XSS por meio de uma mensagem qbfind inserida por um administrador no tema CologneBlue. Isso pode ser explorado quando um administrador insere uma mensagem qbfind maliciosa.