CVE-2015-6728
CVE-2015-6728
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
The ApiBase::getWatchlistUser function in MediaWiki before 1.23.10, 1.24.x before 1.24.3, and 1.25.x before 1.25.2 does not perform token comparison in constant time, which allows remote attackers to guess the watchlist token and bypass CSRF protection via a timing attack.
EPSS 0,9% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
n/a
- Versions du logiciel
- n/a: Concernée
Aucun correctif publié
mediawiki Debian:12
- Plages de versions concernées
- ECOSYSTEM: < 1:1.25.5-1
Mettez à jour vers 1:1.25.5-1
mediawiki Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 1:1.25.5-1
Mettez à jour vers 1:1.25.5-1
mediawiki Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 1:1.25.5-1
Mettez à jour vers 1:1.25.5-1
Sources originales
- https://security.gentoo.org/glsa/201510-05
- http://www.openwall.com/lists/oss-security/2015/08/27/6
- http://www.openwall.com/lists/oss-security/2015/08/12/6
- https://lists.wikimedia.org/pipermail/mediawiki-announce/2015-August/000179.html
- http://lists.fedoraproject.org/pipermail/package-announce/2015-August/165193.html
- http://www.securityfocus.com/bid/76334
- https://nvd.nist.gov/vuln/detail/CVE-2015-6728