Vulnerabilità: CVE-2020-35625

Un problema è stato scoperto nel prolungamento Widget di MediaWiki attraverso 1.35.1. Qualsiasi utente con la possibilità di modificare le pagine all’interno del namespace Widget potrebbe chiamare qualsiasi funzione statica all’interno di qualunque classe (definito all’interno di PHP o MediaWiki) tramite un commento HTML artigianale, legati a un modello di Smarty. Per esempio, una persona del gruppo editori Widget potrebbe usare \ MediaWiki \ Shell \ Shell :: comando all’interno di un commento.


https://gerrit.wikimedia.org/r/q/Ic899a8b15bc510e61cdacb5c024af2d226a2dbeb
https://phabricator.wikimedia.org/T269718
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-35625


E' possibile lasciare un commento come utenti registrati al sito, accedendo tramite social, account wordpress oppure come utenti anonimi. Nel caso in cui si desideri lasciare un commento come utenti anonimi si verrà avvisati via email di un'eventuale risposta solo se si inserisce l'indirizzo email (facoltativo). L'inserimento di qualsiasi dato nei campi dei commenti è totalmente facoltativo. Chiunque decida di inserire un qualsiasi dato accetta il trattamento di questi ultimi per i fini inerenti al servizio ovvero la risposta al commento e le comunicazioni strettamente necessarie.


Rispondi