Description
MediaWiki是美国维基媒体（Wikimedia）基金会和MediaWiki志愿者共同开发维护的一套自由免费的基于网络的Wiki引擎，它可用于部署内部的知识管理和内容管理系统。 MediaWiki 1.19至1.19.6版本和1.20.6之前的1.20.x版本中的chunk upload API中存在未限制文件上传漏洞。远程攻击者可通过上传可执行的扩展文件利用该漏洞执行任意代码。
MediaWiki 任意文件上传漏洞
PoC
None yet. Search at https://trap.biu.life/?ref=rssReferences
https://vulners.com/seebug/SSV:60817
https://www.tenablecloud.cn/plugins/nessus/66841
https://www.netentsec.com/support/show-loopholeupgrade-4287.html
http://www.linuxidc.com/Linux/2015-11/125010.htm
https://qkl.seebug.org/appdir/MediaWiki
https://nvd.nist.gov/vuln/detail/CVE-2013-2114
https://security.snyk.io/vuln/SNYK-PHP-MEDIAWIKICORE-5848037
https://www.cve.org/CVERecord?id=CVE-2013-2114
https://blog.qualys.com/vulnerabilities-threat-research/2014/02/27/mediawiki-djvu-and-pdf-file-upload-remote-code-execution-vulnerability-cve-2014-1610
https://www.cvedetails.com/cve/CVE-2015-8003/
https://github.com/advisories/GHSA-4pqg-hr8r-h5cw