Vulnerabilidad en WikiDiscover (CVE-2024-25107)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

08/02/2024

Última modificación:

15/02/2024

Descripción

WikiDiscover es una extensión manipulada para usarse con una granja administrada CreateWiki para mostrar wikis. En Special:WikiDiscover, la función `Language::date` se utiliza al crear la marca de tiempo legible por humanos para su inclusión en la columna wiki_creation. Esta función utiliza mensajes de interfaz para traducir los nombres de meses y días. Utiliza el modo de salida `-&gt;text()`, devolviendo mensajes de interfaz sin escape. Dado que la salida no se escapa más adelante, el mensaje de interfaz sin escape se incluye en la salida, lo que genera una vulnerabilidad XSS. Explotar este wiki requiere el derecho `(editinterface)`. Esta vulnerabilidad se ha solucionado en el commit `267e763a0`. Se recomienda a los usuarios que actualicen sus instalaciones. No se conocen workarounds para esta vulnerabilidad.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno