p PatchFirst

CVE-2026-55692

CVE-2026-55692 · EmbedVideo Extension: Stored XSS via malformed src url with $wgEmbedVideoRequireConsent enabled

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The EmbedVideo Extension is a MediaWiki extension which adds a parser function called #ev and various parser tags for embedding video clips from various video sharing services. Prior to 4.1.0, with the default $wgEmbedVideoRequireConsent configuration enabled, includes/EmbedService/EmbedHtmlFormatter.php places JSON returned through includes/EmbedService/AbstractEmbedService.php into the data-mw-iframeconfig attribute without safely escaping single quotes. Attacker-controlled archiveorg identifiers and wistia or sharepoint URLs accepted by the affected service validators can cause getUrl() output to terminate the attribute and inject event-handler attributes into the generated figure element. A user able to edit a wiki page can store JavaScript that executes in the wiki origin when visitors render the page. This issue is fixed in version 4.1.0.

CVSS 7.5 · Hoch · EPSS 0,5% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • mediawiki-extensions-embedvideo

    Softwareversionen
    • < 4.1.0: Betroffen

    Keine Korrektur veröffentlicht

  • starcitizenwiki/embedvideo Packagist

    Softwareversionen
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 3.0.3
    • 3.0.4
    • 3.0.5
    • 3.0.6
    • 3.0.7
    • 3.0.8
    • 3.0.9
    • 3.1.0
    • 3.2.0
    • 3.2.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.2.6
    • 3.2.7
    • 3.2.8
    • 3.3.0
    • 3.4.0
    • 3.4.1
    • 3.4.2
    • 3.4.3
    • 4.0.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.1.0

    Auf 4.1.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →