CVE-2015-6728

描述

The ApiBase::getWatchlistUser function in MediaWiki before 1.23.10, 1.24.x before 1.24.3, and 1.25.x before 1.25.2 does not perform token comparison in constant time, which allows remote attackers to guess the watchlist token and bypass CSRF protection via a timing attack.

如何修補 CVE-2015-6728

要修補 CVE-2015-6728,請將受影響套件升級到下列已修補版本。

• Debian/mediawiki—升級至 1:1.25.5-1 或更新版本

CVE-2015-6728 正在被利用嗎?

低 — EPSS 為 0.9%,目前沒有觀察到大規模利用活動。

受影響套件(1)

• from 0, < 1:1.25.5-1

參考連結(1)

• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2015-6728