CVE-2026-52854
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Podatność w rozszerzeniu Maps dla MediaWiki (przed wersją 12.1.3) w funkcji display_map, która akceptuje atakujący HTML w parametrze overlays. Użytkownik z uprawnieniami do edycji może przechowywać złośliwy wikitext, który wykonuje skrypty w przeglądarce innych użytkowników.
Ocena ryzyka
Atakujący może wykonać skrypt w sesji przeglądarki ofiary, co umożliwia kradzież danych lub wykonanie działań w imieniu ofiary.
Rekomendacja
Zaktualizuj rozszerzenie Maps do wersji 12.1.3 lub nowszej. Ogranicz uprawnienia do edycji dla nieufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Maps is a MediaWiki extension that enables visualization of geographic data through dynamic embedded maps. Prior to version 12.1.3, the display_map parser function in the Leaflet service accepts attacker-controlled HTML in the overlays parameter, and resources/leaflet/jquery.leaflet.js uses the overlay name as a Leaflet layer-control label without escaping it. A wiki user with the edit permission can store malicious wikitext that causes script execution when another user previews or views the affected map. The script executes in the viewing user's browser session and can access data or perform actions available to that user. This issue is fixed in version 12.1.3.