According to its self-reported version number, the instance of MediaWiki hosted on the remote web server is prior to 1.43.9, 1.44.x prior to 1.44.6 or 1.45.x prior to 1.45.4. It is, therefore, affected by a number of vulnerabilities as follows.

- LogItem insecure deserialization enabling an arbitrary file write and remote code execution (RCE) via crafted XML during log imports. (CVE-2026-58025)

- ApiQueryUsers leaks the status of private user conditions. (CVE-2026-58036)

- User JavaScript is allowed in pretty-print API responses. (CVE-2026-58028)

- Rev-deleted usernames are exposed in author queries. (CVE-2026-58033)

- API error messages with formatversion=1 are treated as text. (CVE-2026-58032)

- Transcluded titles are not correctly restricted to includable titles. (CVE-2026-58026)

- Insufficient restriction of user lookups in ApiUserrights across interwikis. (CVE-2026-58024)

- Insufficient editmyprivateinfo validation when editing private info. (CVE-2026-58029)

- The LogFormatter raw parameter outputs raw HTML. (CVE-2026-58037)

- AbuseFilter exposes hit counts for protected filters in the API. (CVE-2026-58027)

- SyntaxHighlight_GeSHi does not escape linelinks before Pygments processing. (CVE-2026-58030)

- EasyTimeline script injection via TextData. (CVE-2026-8857)

- Timeline generated SVG stored XSS. (CVE-2026-58038)

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告のバージョン番号によると、リモート Web サーバーでホストされている MediaWiki のインスタンスは 1.43.9 より前か、1.44.6 より前の 1.44.x、または 1.45.4 より前の 1.45.x です。したがって、以下の多くの脆弱性の影響を受けます。

- LogItem の安全でない逆シリアル化により、ログのインポート中に、細工された XML を介して任意のファイル書き込みとリモートコードの実行 (RCE) が可能になる。(CVE-2026-58025)

- ApiQueryUsers がプライベートユーザー条件の状態を漏洩する。(CVE-2026-58036)

- ユーザーの JavaScript が、pretty-print API 応答で許可される。(CVE-2026-58028)

- rev-deleted のユーザー名が、author クエリで漏洩する。(CVE-2026-58033)

- formatversion=1 の API エラーメッセージが、テキストとして扱われる。(CVE-2026-58032)

- トランスクルージョンされたタイトルは、インクルード可能なタイトルに正しく制限されない。(CVE-2026-58026)

- interwikis 間の ApiUserrights におけるユーザー検索の不十分な制限。(CVE-2026-58024)

- プライベート情報を編集する際に editmyprivateinfo の検証が不十分になる。(CVE-2026-58029)

- LogFormatter の raw パラメーターが、未加工の HTML を出力する。(CVE-2026-58037)

- AbuseFilter が、API で保護されたフィルターのヒットカウントを漏洩する。(CVE-2026-58027)

- SyntaxHighlight_GeSHi が、Pygments 処理の前にラインリンクをエスケープしない。(CVE-2026-58030)

- TextData による EasyTimeline スクリプト注入。(CVE-2026-8857)

- Timeline が生成する SVG に起因する格納型 XSS。(CVE-2026-58038)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根據應用程式自我報告的版本號，遠端 Web 伺服器上託管的 MediaWiki 執行個體為 1.43.9 之前版本、1.44.6 之前的 1.44.x 版或 1.45.4 之前的 1.45.x 版。因此，它受到以下多個弱點影響。

- LogItem 不安全的還原序列化弱點，可在日誌匯入期間透過特製的 XML 導致任意檔案寫入和遠端程式碼執行 (RCE)。(CVE-2026-58025)

- ApiQueryUsers 洩露私人使用者條件的狀態。(CVE-2026-58036)

- 允許在美化列印 API 回應中使用者 JavaScript。(CVE-2026-58028)

- 對其執行 revdelete 動作的使用者名稱會在作者查詢中公開。(CVE-2026-58033)

- formatversion=1 的 API 錯誤訊息會被視為文字。(CVE-2026-58032)

- 轉載的標題未被正確地限制為可包含的標題。(CVE-2026-58026)

- 跨 interwiki 的 ApiUserrights 中的用戶查找限制不足。(CVE-2026-58024)

- 編輯私人資訊時未充分驗證 editmyprivateinfo。(CVE-2026-58029)

- LogFormatter 原始參數會輸出原始 HTML。(CVE-2026-58037)

- AbuseFilter 會在 API 中公開受保護篩選器的叫用計數。(CVE-2026-58027)

- 在執行 Pygments 處理之前，SyntaxHighlight_GeSHi 不會對行連結進行轉義處理。(CVE-2026-58030)

- 透過 TextData 插入 EasyTimeline 指令碼。(CVE-2026-8857)

- 時間軸產生的 SVG 儲存型 XSS。(CVE-2026-58038)

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上托管的 MediaWiki 实例版本低于 1.43.9，或为 1.44.6 之前的 1.44.x 版或 1.45.4 之前的 1.45.x 版。因此该软件受到多个漏洞的影响

- LogItem 不安全的反序列化在日志导入期间通过构建的 XML 造成任意文件写入和远程代码执行 （RCE）。（CVE-2026-58025）

- ApiQueryUsers 泄漏隐私用户条件的状态。（CVE-2026-58036）

- pretty-print API 响应中允许用户 JavaScript。（CVE-2026-58028）

- 在作者查询中暴露 Rev-Deleted 用户名。（CVE-2026-58033）

- formatversion=1 的 API 错误消息被视为文本。（CVE-2026-58032）

- 嵌入的标题未正确限制为可包含的标题。（CVE-2026-58026）

- 跨 wiki 的 ApiUserrights 中的用户查找限制不足。（CVE-2026-58024）

- 编辑隐私信息时 editmyprivateinfo 验证不充分。（CVE-2026-58029）

- LogFormatter 原始参数输出原始 HTML。（CVE-2026-58037）

- AbuseFilter 公开 API 中受保护过滤器的点击计数。（CVE-2026-58027）

- SyntaxHighlight_GeSHi 不会在 Pygments 处理之前转义行链接。（CVE-2026-58030）

- 通过 TextData 进行的 EasyTimeline 脚本注入。（CVE-2026-8857）

- 时间轴生成的 SVG 存储的 XSS。（CVE-2026-58038）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
115324	MediaWiki 1.45.x < 1.45.4 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115322	MediaWiki < 1.43.9 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115322	MediaWiki < 1.43.9 の複数の脆弱性	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115322	MediaWiki < 1.43.9 多個弱點	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115324	MediaWiki 1.45.x < 1.45.4 多个漏洞	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115324	MediaWiki 1.45.x < 1.45.4 多個弱點	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115322	MediaWiki < 1.43.9 多个漏洞	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115324	MediaWiki 1.45.x < 1.45.4 の複数の脆弱性	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115323	MediaWiki 1.44.x < 1.44.6 の複数の脆弱性	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115323	MediaWiki 1.44.x < 1.44.6 多個弱點	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115323	MediaWiki 1.44.x < 1.44.6 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium
115323	MediaWiki 1.44.x < 1.44.6 多个漏洞	Web App Scanning	Component Vulnerability	7/28/2026	7/28/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium