Уязвимость Missing Authorization в расширении AbuseFilter Mediawiki Фонда Викимедиа позволяет неавторизованным пользователям получить досту…

Уязвимость Missing Authorization в расширении AbuseFilter Mediawiki Фонда Викимедиа позволяет неавторизованным пользователям получить доступ к переменным репутации IP, к которым у них нет разрешения.[1] Это происходит, когда фильтр используется для изучения последних изменений. Проблема затрагивает версии расширения AbuseFilter от 1.43.X до 1.43.2. Эта уязвимость позволяет злоумышленнику получить доступ к защищенным переменным через Special:AbuseFilter/examine/<rc id>. Для воспроизведения проблемы необходимо локально установить ipoid, AbuseFilter и расширение IPReputation на локальной установке mediawiki, а затем перейти к Special:AbuseFilter/new. В поле условий необходимо ввести что-то вроде ip_reputation_tunnel_operators | ip_reputation_risk_types | ip_reputation_client_proxies | ip_reputation_client_behaviors | ip_reputation_client_count | ip_reputation_ipoid_known и симулировать редактирование с определенного IP. Затем, не авторизуясь, перейти к Special:AbuseFilter/examine/<rc id> и просмотреть детали. Исправление включает в себя добавление ограничений на доступ к защищенным переменным при изучении недавних изменений.[2] Источники: - [1] https://phabricator.wikimedia.org/T396750 - [2] https://gerrit.wikimedia.org/r/c/mediawiki/extensions/AbuseFilter/+/1166040