关键漏洞信息 漏洞概述 CVE编号: CVE-2025-6595 漏洞类型: 存储型XSS (Stored XSS) 受影响组件: MultimediaViewer 受影响版本: MediaWiki (具体版本需确认) 漏洞细节 漏洞描述: 多个系统消息在MultimediaViewer中对存储型XSS脆弱。用户通过利用 参数，可以注入任意内容到MultimediaViewer的本地化UI元素中。 漏洞成因: - 多个系统消息没有正确转义，直接注入到DOM中。 - 漏洞示例: - - - - - - 需求和修复方案 修复要求: 确保系统消息在注入DOM时被正确转义，不直接注入。 修复建议: 使用 或字符串连接方式代替直接注入。 相关文件和补丁: 提供了多个补丁文件，用于修复不同版本的MediaWiki。 测试步骤 详细测试步骤记录了在不同场景下验证XSS未被触发的步骤。 包括对多个系统消息的测试，确认修复效果。 QA结果 测试环境: localhost、testwiki 测试结果: 通过了多个测试用例，确认XSS未被触发。 总结 风险评级: 低风险，但应尽快修复以防止潜在的安全问题。 修复进度: 已完成修复，并部署到Wikimedia生产环境。 相关变更: 跟踪了多个Gerrit变更记录，确保代码修正同步。