CVSS: 5.3EPSS: 0%CPEs: 3EXPL: 0CVE-2023-45370
https://notcve.org/view.php?id=CVE-2023-45370
An issue was discovered in the SportsTeams extension for MediaWiki before 1.35.12, 1.36.x through 1.39.x before 1.39.5, and 1.40.x before 1.40.1. SportsTeams: Special:SportsManagerLogo and Special:SportsTeamsManagerLogo do not check for the sportsteamsmanager user right, and thus an attacker may be able to affect pages that are concerned with sports teams. Se descubrió un problema en la extensión SportsTeams para MediaWiki antes de 1.35.12, 1.36.x hasta 1.39.x antes de 1.39.5 y 1.40.x antes de 1.40.1. SportsTeams: Special:SportsManagerLogo y Special:SportsTeamsManagerLogo no verifican el derecho de usuario de sportsteamsmanager y, por lo tanto, un atacante puede afectar páginas relacionadas con equipos deportivos. • https://gerrit.wikimedia.org/r/c/mediawiki/extensions/SportsTeams/+/959699 https://phabricator.wikimedia.org/T345680 • CWE-862: Missing Authorization •
CVSS: 7.5EPSS: 0%CPEs: 3EXPL: 0CVE-2023-45371
https://notcve.org/view.php?id=CVE-2023-45371
An issue was discovered in the Wikibase extension for MediaWiki before 1.35.12, 1.36.x through 1.39.x before 1.39.5, and 1.40.x before 1.40.1. There is no rate limit for merging items. Se descubrió un problema en la extensión de Wikibase para MediaWiki antes de 1.35.12, 1.36.x hasta 1.39.x antes de 1.39.5 y 1.40.x antes de 1.40.1. No hay límite de tarifa para fusionar artículos. • https://gerrit.wikimedia.org/r/c/mediawiki/extensions/Wikibase/+/961264 https://phabricator.wikimedia.org/T345064 • CWE-770: Allocation of Resources Without Limits or Throttling •
CVSS: 5.3EPSS: 0%CPEs: 3EXPL: 0CVE-2023-45372
https://notcve.org/view.php?id=CVE-2023-45372
An issue was discovered in the Wikibase extension for MediaWiki before 1.35.12, 1.36.x through 1.39.x before 1.39.5, and 1.40.x before 1.40.1. During item merging, ItemMergeInteractor does not have an edit filter running (e.g., AbuseFilter). Se descubrió un problema en la extensión de Wikibase para MediaWiki antes de 1.35.12, 1.36.x hasta 1.39.x antes de 1.39.5 y 1.40.x antes de 1.40.1. Durante la combinación de elementos, ItemMergeInteractor no tiene ningún filtro de edición en ejecución (por ejemplo, AbuseFilter). • https://gerrit.wikimedia.org/r/c/mediawiki/extensions/Wikibase/+/961264 https://phabricator.wikimedia.org/T345064 • CWE-693: Protection Mechanism Failure •
CVSS: 6.1EPSS: 0%CPEs: 3EXPL: 0CVE-2023-45373
https://notcve.org/view.php?id=CVE-2023-45373
An issue was discovered in the ProofreadPage extension for MediaWiki before 1.35.12, 1.36.x through 1.39.x before 1.39.5, and 1.40.x before 1.40.1. XSS can occur via formatNumNoSeparators. Se descubrió un problema en la extensión ProofreadPage para MediaWiki anterior a 1.35.12, 1.36.x a 1.39.x anterior a 1.39.5 y 1.40.x anterior a 1.40.1. XSS puede ocurrir a través de formatNumNoSeparators. • https://gerrit.wikimedia.org/r/c/mediawiki/extensions/ProofreadPage/+/961262 https://phabricator.wikimedia.org/T345693 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.0EPSS: 0%CPEs: 3EXPL: 1CVE-2023-3550 – Stored XSS leads to privilege escalation in MediaWiki v1.40.0
https://notcve.org/view.php?id=CVE-2023-3550
Mediawiki v1.40.0 does not validate namespaces used in XML files. Therefore, if the instance administrator allows XML file uploads, a remote attacker with a low-privileged user account can use this exploit to become an administrator by sending a malicious link to the instance administrator. Mediawiki v1.40.0 no valida los espacios de nombres utilizados en archivos XML. Por lo tanto, si el administrador de la instancia permite la carga de archivos XML, un atacante remoto con una cuenta de usuario con pocos privilegios puede utilizar este exploit para convertirse en administrador enviando un enlace malicioso al administrador de la instancia. • https://fluidattacks.com/advisories/blondie https://lists.debian.org/debian-lts-announce/2023/11/msg00027.html https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FU2FGUXXK6TMV6R52VRECLC6XCSQQISY https://www.debian.org/security/2023/dsa-5520 https://www.mediawiki.org/wiki/MediaWiki • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •