DiscordNotifications maakt DOS, SSRF en mogelijk RCE mogelijk via verzoeken naar door de gebruiker gecontroleerde URL's

Een succesvolle exploitatie van CVE-2025-53371 kan leiden tot ernstige gevolgen. Een aanvaller kan de server overnemen door willekeurige code uit te voeren. De kwetsbaarheid maakt gebruik van de mogelijkheid om curl en filegetcontents te gebruiken om URL's te benaderen, waarbij de $wgDiscordIncomingWebhookUrl en $wgDiscordAdditionalIncomingWebhookUrls variabelen worden misbruikt. Dit kan resulteren in DoS-aanvallen door het forceren van de server om grote bestanden te lezen, of SSRF-aanvallen waarbij interne, onbeschermde API's worden benaderd. In het ergste geval kan SSRF leiden tot RCE als er mogelijkheden zijn om code uit te voeren via HTTP POST requests.

MediaWiki installations utilizing the DiscordNotifications extension are at risk, particularly those with publicly accessible webhooks or those lacking robust input validation. Shared hosting environments where multiple MediaWiki instances share resources are also at increased risk, as a compromise of one instance could potentially impact others.

• php: Examine MediaWiki configuration files for unusual or externally-facing URLs in $wgDiscordIncomingWebhookUrl and $wgDiscordAdditionalIncomingWebhookUrls.

<?php
  // Check for unusual URLs in configuration
  if (strpos($_SERVER['REQUEST_URI'], 'wgDiscordIncomingWebhookUrl') !== false) {
    echo 'Potential vulnerability detected!';
  }
?>

• generic web: Monitor access logs for requests to unusual or unexpected URLs originating from the MediaWiki server. • generic web: Check response headers for signs of SSRF attempts (e.g., unexpected server names or IP addresses).

1. 2025-07-10Disclosure

   disclosure

1. Gereserveerd2025-06-27
2. Gepubliceerd2025-07-10
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-53371 is het upgraden van de DiscordNotifications MediaWiki extensie naar versie 1f20d850cbcce5b15951c7c6127b87b927a5415e. Indien een directe upgrade niet mogelijk is, overweeg dan het tijdelijk uitschakelen van de DiscordNotifications extensie. Als dit geen optie is, beperk dan de toegang tot de $wgDiscordIncomingWebhookUrl en $wgDiscordAdditionalIncomingWebhookUrls variabelen tot vertrouwde bronnen. Controleer de MediaWiki access logs op verdachte activiteit, zoals ongebruikelijke URL-benaderingen. Na de upgrade, verifieer de fix door te controleren of de extensie de juiste versie heeft en dat de configuratie correct is.