CVE-2026-55692
Təsvir
EmbedVideo Extension, müxtəlif video paylaşım xidmətlərindən video klipləri yerləşdirmək üçün #ev adlı parser funksiyası və müvafiq parser teqləri əlavə edən bir MediaWiki genişlənməsidir. 4.1.0 versiyasından əvvəl, standart $wgEmbedVideoRequireConsent konfiqurasiyası aktiv olduqda, includes/EmbedService/EmbedHtmlFormatter.php faylı includes/EmbedService/AbstractEmbedService.php vasitəsilə qaytarılan JSON məlumatlarını tək dırnaqları təhlükəsiz şəkildə escape etmədən data-mw-iframeconfig atributuna yerləşdirir. Təsirə məruz qalan servis validatorları tərəfindən qəbul edilən hücumçu tərəfindən idarə olunan archiveorg identifikatorları və wistia və ya sharepoint URL-ləri getUrl() çıxışının atributu sonlandırmasına və generatsiya edilmiş figure elementinə hadisə-idarəedici (event-handler) atributlarının inyeksiya edilməsinə səbəb ola bilər. Wiki səhifəsini redaktə edə bilən istifadəçi, ziyarətçilər səhifəni yüklədikdə wiki mənşəyində (origin) icra olunan JavaScript kodu yerləşdirə bilər. Bu problem 4.1.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- starcitizenwiki/embedvideo4.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| starcitizenwiki/embedvideoPackagist | v < 4.1.0 | 4.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.