Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-116875

SemanticMediaWiki Special:Ask sayfasında yansıtılmış siteler arası betik çalıştırma (XSS)

SemanticMediaWiki

Orta 6,1 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, wiki sitesini kullanan kişilerin hesaplarının ele geçirilmesine yol açabilecek bir güvenlik zafiyetidir. Saldırganlar kullanıcıları kötü niyetli bir bağlantıya tıklatarak hesap ve veri üzerinde kontrol sağlayabilir. Eklentinin güncellenmesi, kurumun wiki verilerini ve kullanıcı güvenini korumak için acil bir öncelik taşır.

ÖzetTürkçe

SemanticMediaWiki eklentisinin 3.0.0 ile 7.3.1 öncesi sürümlerinde, Special:Ask sayfası ayırıcı parametrelerini (sep, propsep, valuesep, delim, separator) HTML kaçış karakterlerine çevirmeden çıktı olarak veriyor. Bu durum liste, kategori, DSV ve CSV sonuç yazıcılarında etkilidir. Saldırgan, hazırlanmış bir Special:Ask bağlantısını kurbana gönderebilir ve bu bağlantı tarayıcıda wiki'nin kaynağında JavaScript çalıştırabilir. Kimlik doğrulaması gerekmez, ancak kurbanın bağlantıya tıklaması gerekir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın oturumunu veya CSRF belirteçlerini çalabilir ve kurban adına wiki üzerinde işlem yapabilir. Saldırı, kurbanın yetkilerine bağlı olarak içerik değiştirmeye veya yönetimsel işlemlere kadar gidebilir.

Kaynaktaki açıklama (İngilizce)

SemanticMediaWiki from 3.0.0 before 7.3.1 contains a reflected cross-site scripting vulnerability in Special:Ask, which outputs separator parameters (sep, propsep, valuesep, delim, separator) without HTML escaping in list, category, DSV, and CSV result printers. Unauthenticated attackers can send victims crafted Special:Ask links using request_type=raw or request_type=special_page to execute JavaScript in the wiki's origin, stealing sessions or CSRF tokens.

Ne yapmalı?

  1. SemanticMediaWiki eklentisini 7.3.1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncellemeden sonra wiki'nin çalıştığını ve Special:Ask sayfasının beklendiği gibi göründüğünü doğrulayın. Genel öneri
  3. Güncelleme yapılana kadar Special:Ask sayfasına dışarıdan gelen bağlantıların erişimini, mümkünse web sunucusu veya wiki yapılandırması üzerinden kısıtlayın. Genel öneri

Ek önlemler

  • Yöneticilerin ve yetkili kullanıcıların, şüpheli bağlantılara tıklamadan önce dikkatli olmaları konusunda bilgilendirilmesini sağlayın. Genel öneri
  • Web sunucu günlüklerinde Special:Ask isteklerinde alışılmadık parametreler (sep, propsep, valuesep, delim, separator) veya request_type=raw ve request_type=special_page değerlerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
SemanticMediaWiki ≥ 3.0.0, < 7.3.1 7.3.1
7.3.1 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.