DiscordNotifications permite DOS, SSRF e possível RCE através de requisições para URLs controladas pelo usuário

Um atacante pode explorar esta vulnerabilidade para executar código arbitrário no servidor MediaWiki. Isso pode ser alcançado através de um ataque SSRF, explorando a capacidade da extensão de fazer requisições HTTP para URLs configuradas em $wgDiscordIncomingWebhookUrl e $wgDiscordAdditionalIncomingWebhookUrls. Se houver APIs internas não protegidas acessíveis via HTTP POST, um atacante pode usá-las para injetar código malicioso e comprometer o sistema. Além disso, a vulnerabilidade permite ataques de DoS, forçando o servidor a ler arquivos grandes, sobrecarregando os recursos e tornando o sistema indisponível. A combinação de SSRF e DoS aumenta significativamente o risco de comprometimento do servidor.

MediaWiki installations utilizing the DiscordNotifications extension are at risk, particularly those with publicly accessible webhooks or those lacking robust input validation. Shared hosting environments where multiple MediaWiki instances share resources are also at increased risk, as a compromise of one instance could potentially impact others.

• php: Examine MediaWiki configuration files for unusual or externally-facing URLs in $wgDiscordIncomingWebhookUrl and $wgDiscordAdditionalIncomingWebhookUrls.

<?php
  // Check for unusual URLs in configuration
  if (strpos($_SERVER['REQUEST_URI'], 'wgDiscordIncomingWebhookUrl') !== false) {
    echo 'Potential vulnerability detected!';
  }
?>

• generic web: Monitor access logs for requests to unusual or unexpected URLs originating from the MediaWiki server. • generic web: Check response headers for signs of SSRF attempts (e.g., unexpected server names or IP addresses).

1. 2025-07-10Disclosure

   disclosure

1. Reservado2025-06-27
2. Publicada2025-07-10
3. EPSS atualizado2026-03-23

A mitigação primária para CVE-2025-53371 é atualizar a extensão DiscordNotifications para a versão corrigida (commit 1f20d850cbcce5b15951c7c6127b87b927a5415e). Se a atualização imediata não for possível, considere desabilitar temporariamente a extensão DiscordNotifications. Como medida adicional, configure um Web Application Firewall (WAF) para bloquear requisições HTTP para URLs externas, especialmente aquelas que acessam APIs internas. Revise e restrinja as URLs permitidas em $wgDiscordIncomingWebhookUrl e $wgDiscordAdditionalIncomingWebhookUrls para apenas fontes confiáveis. Após a atualização, verifique se a extensão está funcionando corretamente e se as configurações de segurança foram aplicadas.