- Yama var
- Son 7 gün
- CWE-674
CVE-2026-116871
Semantic MediaWiki'de Special:Ask üzerinden kontrolsüz özyineleme (DoS)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kimliği doğrulanmamış herkesin wiki sunucunuzu yavaşlatmasına veya tamamen kullanılamaz hale getirmesine olanak tanır. Hizmet kesintisi iş sürekliliğini ve kullanıcı erişimini doğrudan etkileyebileceği için güncelleme öncelikli olarak ele alınmalıdır.
ÖzetTürkçe
Semantic MediaWiki'nin 3.0.0 ile 7.3.1 öncesi sürümlerinde, LegacyParser::getSubqueryDescription fonksiyonu iç içe geçmiş sorgu öğelerini derinlik sınırları uygulanmadan önce işlemektedir ve bu da kontrolsüz özyinelemeye yol açmaktadır. Sorgu özelliğini kullanan wiki kurulumları etkilenmektedir. Saldırgan kimlik doğrulaması olmadan action=ask API'sine derinlemesine iç içe sorgu öğeleri gönderebilir.
Saldırgan ne yapabilir?
Saldırgan, sunucunun CPU ve bellek kaynaklarını önemli ölçüde tüketerek istek işçilerini meşgul edebilir ve hizmetin erişilemez hale gelmesine neden olabilir.
Kaynaktaki açıklama (İngilizce)
Semantic MediaWiki 3.0.0 before 7.3.1 contains an uncontrolled recursion vulnerability in LegacyParser::getSubqueryDescription() that processes nested query tokens before depth limits apply. Unauthenticated attackers can submit deeply nested query elements to the action=ask API to consume substantial CPU and memory, tying up request workers.
Ne yapmalı?
- Semantic MediaWiki'yi 7.3.1 veya sonraki bir sürüme yükseltin. Üretici
- Güncelleme öncesinde, sorgu yoğun istekleri ve action=ask API'sine yönelik aşırı trafik için erişim günlüklerini inceleyin. Genel öneri
- Güncelleme yapılana kadar action=ask API'sine ve Special:Ask sayfasına gelen istekleri, mümkünse kimlik doğrulamasını gerektirerek veya hız sınırlaması uygulayarak kısıtlayın. Genel öneri
Ek önlemler
- Sunucunun CPU ve bellek kullanımını izleyerek anormal yük artışlarında uyarı alacak şekilde ayarlayın. Genel öneri
- İstek işçilerinin tükenmesini tespit etmek için web sunucusu ve PHP-FPM gibi bileşenlerin kuyruk ve işçi durumlarını takip edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SemanticMediaWiki | ≥ 3.0.0, < 7.3.1 | 7.3.1 |
| 7.3.1 Etkilenmiyor | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…iaWiki/security/advisories/GHSA-f8vw-wvm6-h2qq Üretici bülteni
- github.com/…ommit/756492002752f937a9e115e14330b1181bd8c60c Yama
- github.com/…ommit/e642f38c708dee7da5e885b8d40be8ffc56f3e87 Yama
- vulncheck.com/…e-7.3.1-uncontrolled-recursion-via-special-ask Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.