目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2024-47812— ImportDump 安全漏洞

一分钟漏洞结论

影响对象
miraheze ImportDump
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

ImportDump是Miraheze开源的一款应用程序。 ImportDump存在安全漏洞，该漏洞源于任何可以编辑 wiki 界面字符串的人都可以在日期消息中嵌入跨站脚本。

CVSS 6.0 · Medium EPSS 0.41% · P33
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2024-47812 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Cross-site Scripting (XSS) on Special:RequestImportQueue when displaying request date in ImportDump
来源: CVE Program / CVE List V5
Vulnerability Description
ImportDump is an extension for mediawiki designed to automate user import requests. Anyone who can edit the interface strings of a wiki (typically administrators and interface admins) can embed XSS payloads in the messages for dates, and thus XSS anyone who views Special:RequestImportQueue. This issue has been patched in commit `d054b95` and all users are advised to apply this commit to their branch. Users unable to upgrade may either Prevent access to Special:RequestImportQueue on all wikis, except for the global wiki; and If an interface administrator (or equivalent) level protection is available (which is not provided by default) on the global wiki, protect the affected messages up to that level. This causes the XSS to be virtually useless as users with those rights can already edit Javascript pages. Or Prevent access to Special:RequestImportQueue altogether.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
Vulnerability Title
ImportDump 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
ImportDump是Miraheze开源的一款应用程序。 ImportDump存在安全漏洞，该漏洞源于任何可以编辑 wiki 界面字符串的人都可以在日期消息中嵌入跨站脚本。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
miraheze ImportDump commits priot to d054b95 -

二、漏洞 CVE-2024-47812 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2024-47812 的情报信息

请登录查看更多情报信息。

同批安全公告 · miraheze · 2024-10-09 · 共 3 条

CVE-2024-47816 6.4 MEDIUM ImportDump 安全漏洞
CVE-2024-47815 6.0 MEDIUM IncidentReporting 安全漏洞

IV. Related Vulnerabilities

Same product: ImportDump
Same vendor: miraheze
Same weakness: CWE-79

V. Comments for CVE-2024-47812

暂无评论

发表评论