DiscordNotifications permite DOS, SSRF y posible RCE a través de solicitudes a URLs controladas por el usuario

Un atacante puede explotar esta vulnerabilidad para ejecutar código malicioso en el servidor MediaWiki. Esto se logra aprovechando la capacidad de la extensión para realizar solicitudes HTTP a URLs arbitrarias configuradas a través de $wgDiscordIncomingWebhookUrl y $wgDiscordAdditionalIncomingWebhookUrls. Además de la RCE, la vulnerabilidad permite ataques de SSRF (Server-Side Request Forgery), donde el atacante puede acceder a recursos internos protegidos que no deberían ser accesibles desde el exterior. También se puede utilizar para realizar ataques de Denegación de Servicio (DoS) al obligar al servidor a leer archivos grandes, consumiendo recursos y afectando la disponibilidad del Wiki. La posibilidad de RCE implica un riesgo significativo, ya que un atacante podría obtener control total sobre el servidor, comprometiendo la confidencialidad, integridad y disponibilidad de los datos del Wiki.

MediaWiki installations utilizing the DiscordNotifications extension are at risk, particularly those with publicly accessible webhooks or those lacking robust input validation. Shared hosting environments where multiple MediaWiki instances share resources are also at increased risk, as a compromise of one instance could potentially impact others.

• php: Examine MediaWiki configuration files for unusual or externally-facing URLs in $wgDiscordIncomingWebhookUrl and $wgDiscordAdditionalIncomingWebhookUrls.

<?php
  // Check for unusual URLs in configuration
  if (strpos($_SERVER['REQUEST_URI'], 'wgDiscordIncomingWebhookUrl') !== false) {
    echo 'Potential vulnerability detected!';
  }
?>

• generic web: Monitor access logs for requests to unusual or unexpected URLs originating from the MediaWiki server. • generic web: Check response headers for signs of SSRF attempts (e.g., unexpected server names or IP addresses).

1. 2025-07-10Disclosure

   disclosure

1. Reservado2025-06-27
2. Publicada2025-07-10
3. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-53371 es actualizar la extensión DiscordNotifications a la versión corregida (commit 1f20d850cbcce5b15951c7c6127b87b927a5415e). Si la actualización causa problemas de compatibilidad, considere realizar una reversión a una versión anterior estable de MediaWiki antes de aplicar la actualización. Como medida adicional, configure un Web Application Firewall (WAF) o un proxy inverso para filtrar las solicitudes HTTP entrantes y bloquear aquellas que intenten acceder a URLs no autorizadas. Revise y restrinja las configuraciones de $wgDiscordIncomingWebhookUrl y $wgDiscordAdditionalIncomingWebhookUrls para limitar las URLs a las que la extensión puede acceder. Implemente reglas de auditoría para monitorear las solicitudes HTTP realizadas por la extensión.