CVE-2026-55692
Açıklama
EmbedVideo Uzantısı, çeşitli video paylaşım servislerinden video kliplerini gömmek için #ev adlı bir ayrıştırıcı fonksiyon ve çeşitli ayrıştırıcı etiketleri ekleyen bir MediaWiki uzantısıdır. 4.1.0 sürümünden önce, varsayılan $wgEmbedVideoRequireConsent yapılandırması etkin olduğunda, includes/EmbedService/EmbedHtmlFormatter.php dosyası, includes/EmbedService/AbstractEmbedService.php aracılığıyla döndürülen JSON verisini tek tırnakları güvenli bir şekilde kaçırmadan data-mw-iframeconfig özniteliğine yerleştirir. Etkilenen servis doğrulayıcıları tarafından kabul edilen saldırgan kontrollü archiveorg tanımlayıcıları ile wistia veya sharepoint URL'leri, getUrl() çıktısının özniteliği sonlandırmasına ve oluşturulan figure öğesine olay işleyici (event-handler) öznitelikleri enjekte edilmesine neden olabilir. Bir wiki sayfasını düzenleyebilen kullanıcı, ziyaretçiler sayfayı görüntülediğinde wiki kökeninde çalışan JavaScript kodu depolayabilir. Bu sorun 4.1.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- starcitizenwiki/embedvideo4.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| starcitizenwiki/embedvideoPackagist | v < 4.1.0 | 4.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.