在 ImportDump 中显示请求日期时，Special:RequestImportQueue 上存在跨站点脚本 (XSS) (CVE-2024-47812)
CVE编号
CVE-2024-47812利用情况
暂无补丁情况
N/A披露时间
2024-10-10漏洞描述
ImportDump是专为MediaWiki设计的扩展，旨在自动化用户导入请求。能够编辑维基界面字符串的人（通常是管理员和界面管理员）可以在日期消息中嵌入XSS负载，从而跨站脚本攻击查看“特殊：请求导入队列”的任何用户。这个问题已在提交`d054b95`中得到修复，建议所有用户将其应用到自己的分支上。无法升级的用户可以选择阻止访问所有维基上的“特殊：请求导入队列”，或者在全局维基上提供（默认不提供）界面管理员（或同等）级别的保护，以保护受影响的信息达到该级别。这样做会使得XSS几乎无用，因为拥有这些权限的用户已经可以编辑JavaScript页面。或者完全阻止访问“特殊：请求导入队列”。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
| CWE-79 | 在Web页面生成时对输入的转义处理不恰当（跨站脚本） |
| CWE-80 | Web页面中脚本相关HTML标签转义处理不恰当（基本跨站脚本） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论