報告者: Marco Paciaroni (BomboBombone)。
Wikibase は、SetLabel ページにおいて、エスケープされていない language-validation エラーテキストを含んでいました。拒否された入力は、リクエストがラベル保存操作に到達する前に、実行可能な HTML として返される可能性がありました。
CVE レコードは、1.46.1、1.45.5、および 1.43.10 での修正前の、影響を受ける Wikibase リリースブランチを特定しています。対応する MediaWiki リリースブランチには、修正済みの拡張機能コードを使用してください。
アーカイブされた検証は、認証されていないリクエストと、wiki オリジン内でのブラウザ実行を記録しています。ラベルの保存には到達しませんでした。書き込みを拒否することは、信頼できない入力を HTML としてレンダリングするエラーページを保護するものではありません。
アーカイブされたケースの証拠は、ローカル HTTP レスポンスの成功と、無害なマーカーのブラウザ実行を記録しています。また、ラベルの保存が発生しなかったことも別途記録しています。この公開概要は、それらの検証記録と関連する調査ノートに基づいています。
アップストリームの変更では、term-editing および関連する特別ページにおいて、エラーメッセージをレンダリングする前に HTML エスケープします。
python poc.py https://wiki.example --entity Q1
このスクリプトは、無害なマーカーを含む無効な言語値を送信し、レスポンスがそれを生の script 要素として返すかどうかを確認します。影響を受けるパスは、ラベルを保存する前にリクエストを拒否します。