Vulnerabilidades

ManageWiki es una extensión de MediaWiki que permite a los usuarios administrar wikis. Special:ManageWiki no escapa a los mensajes de la interfaz de escape en las teclas "columnas" y "ayuda" del descriptor del formulario. Un atacante podría aprovechar esto y tendría un vector de ataque de cross site scripting.…

WikiDiscover es una extensión manipulada para usarse con una granja administrada CreateWiki para mostrar wikis. En Special:WikiDiscover, la función `Language::date` se utiliza al crear la marca de tiempo legible por humanos para su inclusión en la columna wiki_creation. Esta función utiliza mensajes de interfaz para…

Se descubrió un problema en la extensión GlobalBlocking en MediaWiki antes de la versión 1.40.2. Para un URI Special:GlobalBlock?uselang=x-xss, el XSS basado en i18n puede ocurrir a través del mensaje entre paréntesis. Esto afecta los enlaces de subtítulos en buildSubtitleLinks.

Se descubrió un problema en la extensión Phonos en MediaWiki antes de la versión 1.40.2. PhonosButton.js permite XSS basado en i18n a través del mensaje de error phonos-purge-needed-error.

Se descubrió un problema en la extensión WatchAnalytics en MediaWiki antes de la versión 1.40.2. XSS puede ocurrir a través del parámetro de página Special:PageStatistics.

Se descubrió un problema en la extensión PageTriage en MediaWiki antes de 1.35.14, 1.36.x hasta 1.39.x antes de 1.39.6 y 1.40.x antes de 1.40.2. XSS puede ocurrir a través de rev-deleted-user, pagetriage-tags-quickfilter-label, pagetriage-triage, pagetriage-filter-date-range-format-placeholder,…

Se descubrió un problema en la extensión Cargo en MediaWiki antes de 1.35.14, 1.36.x hasta 1.39.x antes de 1.39.6 y 1.40.x antes de 1.40.2. La página Special:Drilldown permite XSS a través de los parámetros artist, album y position debido a los valores de filtro aplicados en drilldown/CargoAppliedFilter.php.

Se descubrió un problema en la extensión CheckUser en MediaWiki antes de 1.35.14, 1.36.x hasta 1.39.x antes de 1.39.6 y 1.40.x antes de 1.40.2. XSS puede ocurrir a través de definiciones de mensajes. por ejemplo, en SpecialCheckUserLog.

Se descubrió un problema en la extensión CampaignEvents en MediaWiki antes de 1.35.14, 1.36.x hasta 1.39.x antes de 1.39.6 y 1.40.x antes de 1.40.2. La página Special:EventDetails permite XSS a través de la configuración de idioma x-xss para la internacionalización (i18n).

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. Un usuario capaz de adjuntar un archivo a una página puede publicar un archivo TAR con formato incorrecto manipulando los encabezados de los tiempos de modificación del archivo, que cuando Tika los…

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. A la acción de reversión le falta una protección adecuada, un usuario puede retroceder a una versión anterior de la página para obtener derechos que ya no tiene. El problema se solucionó en XWiki…

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. XWiki es vulnerable a un ataque de ejecución remota de código (RCE) a través de su función de registro de usuarios. Este problema permite a un atacante ejecutar código arbitrario creando payloads…

Se descubrió un problema en MediaWiki antes de 1.35.14, 1.36.x hasta 1.39.x antes de 1.39.6 y 1.40.x antes de 1.40.2. En includes/logging/RightsLogFormatter.php, group-*-mensajes de miembros pueden generar XSS en Special:log/rights.

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. Es posible ejecutar un script de Velocity sin script directamente a través del árbol de documentos. Esto ha sido parcheado en XWiki 14.10.7 y 15.2RC1.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site Scripting') en Currency.Wiki Currency Converter Widget – Exchange Rates permite XSS almacenado. Este problema afecta a Currency Converter Widget – Exchange Rates: desde n/a hasta 3.0.2.

XWiki Platform es una plataforma wiki genérica. A partir de 2.3 y antes de las versiones 14.10.15, 15.5.2 y 15.7-rc-1, cualquiera que pueda editar una página wiki arbitraria en una instalación de XWiki puede obtener programación en varios casos en los que faltan escapes en el código para mostrar secciones. en la…

XWiki Platform es una plataforma wiki genérica. A partir de la versión 2.3 y anteriores a las versiones 14.10.15, 15.5.2 y 15.7-rc-1, hay una vulnerabilidad XSS reflejada o también de ejecución remota directa de código en el código para mostrar secciones de administración configurables. El código que se puede pasar a…

XWiki Platform es una plataforma wiki genérica. A partir de 4.5-rc-1 y anteriores a las versiones 14.10.15, 15.5.2 y 15.7-rc-1, la interfaz de administración de búsqueda no escapa correctamente a la identificación y la etiqueta de las extensiones de la interfaz de usuario de búsqueda, lo que permite la inyección de…

XWiki Platform es una plataforma wiki genérica. Antes de las versiones 14.10.15, 15.5.2 y 15.7-rc-1, la búsqueda basada en Solr en XWiki revela las direcciones de correo electrónico de los usuarios incluso cuando la ofuscación de direcciones de correo electrónico está habilitada. Para demostrar la vulnerabilidad,…

XWiki Platform es una plataforma wiki genérica. A partir de 7.2-milestone-2 y antes de las versiones 14.10.15, 15.5.2 y 15.7-rc-1, la búsqueda basada en Solr en XWiki revela los hashes de contraseñas de todos los usuarios a cualquier persona con acceso directo a los respectivos perfiles de usuario. De forma…

Especial:Preguntar en Semantic MediaWiki antes de 4.0.2 permite Reflected XSS.

XWiki Change Request es una aplicación XWiki que permite solicitar cambios en una wiki sin publicar directamente los cambios. Change Request permite editar cualquier página de forma predeterminada y luego los cambios se exportan en un archivo XML que cualquiera puede descargar. Por lo tanto, es posible que un atacante…

XWiki Admin Tools Application proporciona herramientas para ayudar en la administración de XWiki. Antes de la versión 4.5.1, una vulnerabilidad de Cross-Site Request Forgery en la herramienta de consulta en XWiki permitía ejecutar consultas arbitrarias en la base de datos de la instalación de XWiki. Entre otras cosas,…

XWiki Admin Tools Application proporciona herramientas para ayudar en la administración de XWiki. A partir de la versión 4.4 y antes de la versión 4.5.1, una vulnerabilidad de Cross-Site Request Forgery en la herramienta de administración para ejecutar comandos de shell en el servidor permite a un atacante ejecutar…

XWiki Platform es una plataforma wiki genérica. A partir de la versión 6.3-milestone-2 y antes de las versiones 14.10.15, 15.5.1 y 15.6RC1, el proveedor de sugerencias de búsqueda basado en Solr que también se duplica como API JavaScript genérica para los resultados de búsqueda en XWiki expone el contenido de todos…