CVE-2020-9382

Опубликовано: 24 фев. 2020

Источник: nvd

CVSS3: 5.4

CVSS2: 5.5

EPSS Низкий

Описание

An issue was discovered in the Widgets extension through 1.4.0 for MediaWiki. Improper title sanitization allowed for the execution of any wiki page as a widget (as defined by this extension) via MediaWiki's {{#widget:}} parser function.

Ссылки

https://gerrit.wikimedia.org/r/q/I953e060bc6994ffdba9f380c98173f53f8ca1ea8
Patch
Third Party Advisory
https://phabricator.wikimedia.org/T245850
Exploit
Third Party Advisory
https://gerrit.wikimedia.org/r/q/I953e060bc6994ffdba9f380c98173f53f8ca1ea8
Patch
Third Party Advisory
https://phabricator.wikimedia.org/T245850
Exploit
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:widgets_project:widgets:*:*:*:*:*:mediawiki:*:*

Версия до 1.4.0 (включая)

EPSS

Процентиль: 62%

0.00971

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2

Дефекты

CWE-74

Связанные уязвимости

GHSA-2vw7-qgh3-r4pc

github

больше 4 лет назад

ALT-PU-2021-2069

CVSS3: 8.8

altlinux

больше 5 лет назад

ALT-PU-2021-2069: package `mediawiki-extensions-Widgets` update to version 1.3.0-alt1git