CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-6163
https://notcve.org/view.php?id=CVE-2020-6163
The WikibaseMediaInfo extension 1.35 for MediaWiki allows XSS because of improper template syntax within the PropertySuggestionsWidget template (in the templates/search/PropertySuggestionsWidget.mustache+dom file). La extensión WikibaseMediaInfo versión 1.35 para MediaWiki, permite un ataque de tipo XSS debido a una sintaxis de plantilla inapropiada dentro de la plantilla PropertySuggestionsWidget (en el archivo templates/search/PropertySuggestionsWidget.mustache+dom). • https://gerrit.wikimedia.org/r/558203 https://phabricator.wikimedia.org/T240773 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2019-19910
https://notcve.org/view.php?id=CVE-2019-19910
The MinervaNeue Skin in MediaWiki from 2019-11-05 to 2019-12-13 (1.35 and/or 1.34) mishandles certain HTML attributes, as demonstrated by IMG onmouseover= (impact is XSS) and IMG src=http (impact is disclosing the client's IP address). This can occur within a talk page topical header that is viewed within a mobile (MobileFrontend) context. El MinervaNeue Skin en MediaWiki desde el 05-11-2019 hasta el 13-12-2019 (versiones 1.35 y/o 1.34) maneja inapropiadamente ciertos atributos HTML, como es demostrado por IMG onmouseover= (el impacto es un XSS) e IMG src=http (el impacto es la revelación de la dirección IP del cliente). Esto puede presentarse dentro de un encabezado temático de la página de discusión que es visualizado dentro de un contexto móvil (MobileFrontend). • https://gerrit.wikimedia.org/r/q/Ida471291f1698387a26736931ab17e6899e05b51 https://phabricator.wikimedia.org/T240487 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 3EXPL: 2CVE-2019-19709
https://notcve.org/view.php?id=CVE-2019-19709
MediaWiki through 1.33.1 allows attackers to bypass the Title_blacklist protection mechanism by starting with an arbitrary title, establishing a non-resolvable redirect for the associated page, and using redirect=1 in the action API when editing that page. MediaWiki versiones hasta 1.33.1, permite a atacantes omitir el mecanismo de protección Title_blacklist al iniciar con un título arbitrario, estableciendo un redireccionamiento no resoluble para la página asociada y usando redirect=1 en la API action cuando se edita esa página. • https://gerrit.wikimedia.org/r/q/Ie54f366986056c876eade0fcad6c41f70b8b8de8 https://phabricator.wikimedia.org/T239466 https://seclists.org/bugtraq/2019/Dec/48 https://www.debian.org/security/2019/dsa-4592 • CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •
CVSS: 5.3EPSS: 0%CPEs: 5EXPL: 1CVE-2019-16738
https://notcve.org/view.php?id=CVE-2019-16738
In MediaWiki through 1.33.0, Special:Redirect allows information disclosure of suppressed usernames via a User ID Lookup. En MediaWiki versiones hasta 1.33.0, Special:Redirect permite la divulgación de información de nombres de usuario suprimidos por medio de una Búsqueda de ID de Usuario. • https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/7OMG3BMUHGWTAPYTK2NXM6CXF6FYLOUO https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QBAOLXETM5BOYQG6OQVHGB2LNLZUXVN6 https://phabricator.wikimedia.org/T230402 https://seclists.org/bugtraq/2019/Oct/32 https://www.debian.org/security/2019/dsa-4545 • CWE-862: Missing Authorization •
CVSS: 9.8EPSS: 0%CPEs: 2EXPL: 0CVE-2019-12468
https://notcve.org/view.php?id=CVE-2019-12468
An Incorrect Access Control vulnerability was found in Wikimedia MediaWiki 1.27.0 through 1.32.1. Directly POSTing to Special:ChangeEmail would allow for bypassing re-authentication, allowing for potential account takeover. Se detectó una vulnerabilidad de control de acceso incorrecto en MediaWiki versiones 1.27.0 hasta 1.32.1 de Wikimedia. Un POSTING directamente en Special:ChangeEmail permitiría omitir la re-autenticación, permitiendo una potencial toma de control de una cuenta. • https://lists.wikimedia.org/pipermail/mediawiki-announce https://lists.wikimedia.org/pipermail/wikitech-l/2019-June/092152.html https://phabricator.wikimedia.org/T197279 https://seclists.org/bugtraq/2019/Jun/12 https://www.debian.org/security/2019/dsa-4460 • CWE-306: Missing Authentication for Critical Function •