CVE-2026-55691 in mediawiki-extensions-EmbedVideo
要約
〜によって VulDB • 2026年09月15日
EmbedVideo Extensionは、各種の動画共有サービスからビデオクリップを埋め込むために #ev というパーサー関数および様々なパーサータグを追加するMediaWiki拡張機能です。バージョン4.1.0より前では、includes/EmbedService/EmbedHtmlFormatter.php内の EmbedHtmlFormatter::toHtml が、figure要素を構築する際にユーザー入力の class 値を直接 sprintf に渡します。class 値内の引用符は class属性を終了させ、レンダリングされたページに任意のHTML属性やマークアップを注入することができます。Wikiページの編集が可能なユーザーは、影響を受けるコンテンツをレンダリングした訪問者に対して実行されるJavaScriptを保存できます。この問題はバージョン4.1.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.