MediaWiki Cross Site Scripting And Multiple HTML Injection Vulnerabilities

Bugtraq ID:	32844
Class:	Input Validation Error
CVE:	CVE-2008-5249 CVE-2008-5250
Remote:	Yes
Local:	No
Published:	Dec 15 2008 12:00AM
Updated:	Apr 13 2015 09:21PM
Credit:	David Remahl
Vulnerable:	S.u.S.E. openSUSE 11.0 S.u.S.E. openSUSE 10.3 MediaWiki MediaWiki 1.13.2 MediaWiki MediaWiki 1.13.1 MediaWiki MediaWiki 1.13 MediaWiki MediaWiki 1.12.1 MediaWiki MediaWiki 1.12 MediaWiki MediaWiki 1.6.9 MediaWiki MediaWiki 1.6.8 MediaWiki MediaWiki 1.6.7 MediaWiki MediaWiki 1.6.6 MediaWiki MediaWiki 1.6.5 MediaWiki MediaWiki 1.6.4 MediaWiki MediaWiki 1.6.3 MediaWiki MediaWiki 1.6.2 MediaWiki MediaWiki 1.6.1 MediaWiki MediaWiki 1.6 Debian Linux 4.0 sparc Debian Linux 4.0 s/390 Debian Linux 4.0 powerpc Debian Linux 4.0 mipsel Debian Linux 4.0 mips Debian Linux 4.0 m68k Debian Linux 4.0 ia-64 Debian Linux 4.0 ia-32 Debian Linux 4.0 hppa Debian Linux 4.0 armel Debian Linux 4.0 arm Debian Linux 4.0 amd64 Debian Linux 4.0 alpha Debian Linux 4.0
Not Vulnerable:	MediaWiki MediaWiki 1.13.3 MediaWiki MediaWiki 1.12.2 MediaWiki MediaWiki 1.6.11

MediaWiki Cross Site Scripting And Multiple HTML Injection Vulnerabilities

MediaWiki is prone to a cross-site scripting vulnerability and multiple HTML-injection vulnerabilities because it fails to sufficiently sanitize user-supplied data.

Attacker-supplied HTML or JavaScript code could run in the context of the affected site, potentially allowing the attacker to steal cookie-based authentication credentials and to control how the site is rendered to the user; other attacks are also possible.

Versions prior to MediaWiki 1.13.3, 1.12.1, and 1.6.11 are vulnerable to these issues.

MediaWiki Cross Site Scripting And Multiple HTML Injection Vulnerabilities

Attackers can use a browser to exploit these issues.

MediaWiki Cross Site Scripting And Multiple HTML Injection Vulnerabilities

Solution:
Updates are available. Please see the references for more information.


Debian Linux 4.0 amd64

• Debian mediawiki1.7-math_1.7.1-9etch1_amd64.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_amd64.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 ia-32

• Debian mediawiki1.7-math_1.7.1-9etch1_i386.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_i386.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 arm

• Debian mediawiki1.7-math_1.7.1-9etch1_arm.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_arm.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 hppa

• Debian mediawiki1.7-math_1.7.1-9etch1_hppa.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_hppa.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 sparc

• Debian mediawiki1.7-math_1.7.1-9etch1_sparc.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_sparc.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 s/390

• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 powerpc

• Debian mediawiki1.7-math_1.7.1-9etch1_powerpc.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_powerpc.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 alpha

• Debian mediawiki1.7-math_1.7.1-9etch1_alpha.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_alpha.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 armel

• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 m68k

• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0

• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 mipsel

• Debian mediawiki1.7-math_1.7.1-9etch1_mipsel.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_mipsel.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 ia-64

• Debian mediawiki1.7-math_1.7.1-9etch1_ia64.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_ia64.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

Debian Linux 4.0 mips

• Debian mediawiki1.7-math_1.7.1-9etch1_mips.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7-math_1.7.1-9etch1_mips.deb


• Debian mediawiki1.7_1.7.1-9etch1_all.deb
  http://security.debian.org/pool/updates/main/m/mediawiki1.7/mediawiki1 .7_1.7.1-9etch1_all.deb

MediaWiki MediaWiki 1.12

• MediaWiki mediawiki-1.12.2.tar.gz
  http://download.wikimedia.org/mediawiki/1.12/mediawiki-1.12.2.tar.gz

MediaWiki MediaWiki 1.12.1

• MediaWiki mediawiki-1.12.2.tar.gz
  http://download.wikimedia.org/mediawiki/1.12/mediawiki-1.12.2.tar.gz

MediaWiki MediaWiki 1.13

• MediaWiki mediawiki-1.13.3.tar.gz
  http://download.wikimedia.org/mediawiki/1.13/mediawiki-1.13.3.tar.gz

MediaWiki MediaWiki 1.13.1

• MediaWiki mediawiki-1.13.3.tar.gz
  http://download.wikimedia.org/mediawiki/1.13/mediawiki-1.13.3.tar.gz

MediaWiki MediaWiki 1.13.2

• MediaWiki mediawiki-1.13.3.tar.gz
  http://download.wikimedia.org/mediawiki/1.13/mediawiki-1.13.3.tar.gz

MediaWiki MediaWiki 1.6

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.1

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.2

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.3

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.4

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.5

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.6

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.7

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.8

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki MediaWiki 1.6.9

• MediaWiki mediawiki-1.6.11.tar.gz
  http://download.wikimedia.org/mediawiki/1.6/mediawiki-1.6.11.tar.gz

MediaWiki Cross Site Scripting And Multiple HTML Injection Vulnerabilities

References:

• MediaWiki 1.13.3, 1.12.2, 1.6.11 security update (Tim Starling)
  
• MediaWiki Homepage (MediaWiki)