注目★★★★★GitHub Advisory
MediaWiki EmbedVideoにstored XSS、設定無効時にJS注入
30秒で把握
- 1MediaWiki EmbedVideoで設定無効時のstored XSSを確認
- 2細工した動画URLやIDでiframeのsrc属性を脱出
- 3編集権限者が任意JavaScriptをWiki訪問者へ実行可能
要約
MediaWiki EmbedVideo Extensionで、$wgEmbedVideoRequireConsent を無効にした環境にstored XSSが発生する。動画URLをiframeのsrcへ無 sanitizationで渡すため、細工したURLやIDに含む二重引用符で属性を脱出し、HTMLイベントハンドラーへ任意のJavaScriptを注入できる。ページ編集権限を持つユーザーが仕込め、閲覧者ごとにWikiのオリジン上で実行される。既定設定ではこの条件は無効になっている。
あなたへの影響
MediaWikiでEmbedVideoを使う管理者は、$wgEmbedVideoRequireConsent を有効化し、設定変更と不審な埋め込み記述を確認する。
推奨：stored XSSは保存されたスクリプトがページ閲覧時に実行される脆弱性で、影響範囲をWikiの編集権限と閲覧者に及ぼし得る。