ローカライズされたウィキ名におけるi18n経由のXSS

CVE-2026-39935 は、Mediawiki の CampaignEvents 拡張機能に影響を与え、Web ページ生成中の入力の不適切な無効化により、クロスサイトスクリプティング (XSS) 攻撃を可能にします。攻撃者は、ユーザーのブラウザで実行される悪意のあるコードを注入し、セッションを侵害したり、機密情報 (Cookie など) を盗んだり、悪意のある Web サイトにリダイレクトしたりする可能性があります。影響は大きく、特に大規模なユーザーベースを持つ Mediawiki サイトの場合、CampaignEvents 拡張機能は広範なユーザーを攻撃するために悪用される可能性があります。この脆弱性は 'master' ブランチでのみ修正されているため、このブランチに更新されていないインストールは脆弱です。リスクを軽減するために、更新を適用することが重要です。

Mediawiki installations utilizing the CampaignEvents Extension, particularly those running vulnerable versions (0.0.0–1.45), are at risk. Shared hosting environments where multiple Mediawiki instances share the same server are especially vulnerable, as a compromise of one instance could potentially impact others. Organizations relying on Mediawiki for internal communication or collaboration should prioritize patching.

• php / web:

 grep -r 'CampaignEvents Extension' /var/www/mediawiki/extensions/

• php / web: Check for modified files in the CampaignEvents Extension directory that are not part of the official release. • php / web: Review Mediawiki access logs for suspicious requests containing potentially malicious JavaScript code. • php / web: Monitor for unusual user activity, such as unexpected redirects or changes to user profiles.

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-04-07
2. 公開日2026-04-07
3. 更新日2026-04-08
4. EPSS 更新日2026-04-15

CVE-2026-39935 の主な軽減策は、CampaignEvents 拡張機能をバージョン 1.46 以降に更新することです。このバージョンには、入力の無効化と XSS 攻撃の防止に必要な修正が含まれています。更新がすぐに不可能な場合は、追加のセキュリティ対策を実装することを検討してください。たとえば、Web ページに表示する前に、すべてのユーザー入力を検証およびサニタイズします。さらに、Mediawiki サイトのセキュリティポリシーを見直し、強化し、Content Security Policy (CSP) を実装して、ブラウザがロードできるコンテンツのソースを制限します。サーバーログを監視して疑わしいアクティビティを検出することも、潜在的な攻撃に対応するのに役立ちます。