CVE-2020-25828

Versões 1.31.10 e anteriores do MediaWiki

Versões 1.32.x a 1.34.3 do MediaWiki

Foi descoberta uma falha na versão sem jqueryMsg de mw.message().parse(), que não escapa HTML. Isso afeta tanto o conteúdo das mensagens quanto os parâmetros, que podem ser baseados em entradas do usuário. Quando jqueryMsg é carregado, ele aceita corretamente apenas tags da lista de permissões no conteúdo das mensagens e escapa todos os parâmetros. No entanto, podem ocorrer situações em que o jqueryMsg não esteja carregado, por exemplo, em um wiki sem extensões instaladas, permitindo que um invasor remoto realize um ataque de script entre sites (XSS).

Para as versões 1.31.10 e anteriores do MediaWiki, atualize para a versão 1.31.10 ou posterior.

Para as versões 1.32.x a 1.34.3 do MediaWiki, atualize para a versão 1.34.4 ou posterior.

Como solução temporária, considere desativar a função mw.message().parse() até que um patch esteja disponível.

Restrinja o acesso à página Special:SpecialPages em uma wiki sem extensões instaladas para minimizar o risco de exploração.