CVE-2026-58035
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W MediaWiki wykryto podatność na ataki XSS (Cross-site Scripting) w plikach programu resources/src/mediawiki.Special.Block/SpecialBlock.Vue. Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, co może prowadzić do kradzieży sesji użytkowników, przejęcia kont lub wycieku danych wrażliwych.
Rekomendacja
Należy niezwłocznie zaktualizować MediaWiki do najnowszej wersji zawierającej poprawkę dla CVE-2026-58035. Dodatkowo warto wdrożyć politykę Content Security Policy (CSP) w celu ograniczenia ryzyka XSS.
Inne podatności w MediaWiki
Zobacz wszystkie- CVE-2017-8815Wysokie
Konwerter językowy w MediaWiki przed wersją 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2 umożliwia ataki typu injection atrybutów za pomocą reguł glosariusza.
- CVE-2017-8814Wysokie
Konwerter językowy w MediaWiki przed wersją 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2 umożliwia atakującym zastąpienie tekstu wewnątrz tagów poprzez definicję reguły, po której następuje 'dużo śmieci'.
- CVE-2017-8810Wysokie
MediaWiki w wersjach przed 1.27.4, 1.28.x przed 1.28.3 oraz 1.29.x przed 1.29.2, w przypadku skonfigurowanej prywatnej wiki, generuje różne komunikaty o błędach dla nieudanych prób logowania w zależności od istnienia nazwy użytkownika. To umożliwia zdalnym atakującym enumerację nazw kont oraz przeprowadzanie ataków brute-force.
- CVE-2012-4380Wysokie
MediaWiki w wersjach przed 1.18.5 oraz 1.19.x przed 1.19.2 pozwala zdalnym atakującym na obejście blokady adresów IP w rozszerzeniu GlobalBlocking oraz na utworzenie konta za pomocą nieokreślonych wektorów.
- CVE-2016-6337Wysokie
MediaWiki w wersji 1.27.x przed 1.27.1 może pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń dostępu do sesji poprzez wykorzystanie wywołania funkcji UserGetRights po Session::getAllowedUserRights.
- CVE-2016-6335Wysokie
MediaWiki w wersjach przed 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1 nie generuje elementów nagłówka w kontekście danego tytułu, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji za pomocą akcji parsowania do api.php.
- CVE-2016-6332Wysokie
MediaWiki w wersjach przed 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1, gdy $wgBlockDisablesLogin jest ustawione na true, może pozwolić zdalnym atakującym na uzyskanie wrażliwych informacji poprzez niewłaściwe zakończenie sesji, gdy konto użytkownika jest zablokowane.
- CVE-2016-6331Wysokie
ApiParse w MediaWiki przed wersją 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1 umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń odczytu dla poszczególnych tytułów poprzez akcję parsowania w api.php.
- CVE-2015-8625Wysokie
MediaWiki w wersjach przed 1.23.12, 1.24.x przed 1.24.5, 1.25.x przed 1.25.4 oraz 1.26.x przed 1.26.1 nieprawidłowo sanitizuje parametry podczas wywoływania biblioteki cURL. To umożliwia zdalnym atakującym odczyt dowolnych plików poprzez użycie znaku @ w nieokreślonych parametrach tablicy POST.
- CVE-2015-8624Wysokie
Funkcja User::matchEditToken w MediaWiki przed wersją 1.23.12 oraz 1.24.x przed 1.24.5, 1.25.x przed 1.25.4 i 1.26.x przed 1.26.1 nie wykonuje porównania tokenów w stałym czasie, co umożliwia zdalnym atakującym odgadnięcie tokena edycji i obejście ochrony CSRF za pomocą ataku czasowego.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') vulnerability in Wikimedia Foundation MediaWiki. This vulnerability is associated with program files resources/src/mediawiki.Special.Block/SpecialBlock.Vue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS