CVE-2025-67484: MediaWiki: falha de validação imprópria de entrada no formatador XML da API

Visão geral

A CVE-2025-67484 afeta o Wikimedia Foundation MediaWiki e está associada ao arquivo de programa includes/Api/ApiFormatXml.Php. O registro classifica a fraqueza como CWE-20, Validação Imprópria de Entrada, e o NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica).

Impacto

O vetor informado pelo NVD descreve ataque pela rede, com baixa complexidade, sem necessidade de privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
O registro não descreve a consequência concreta da falha além da classe da fraqueza e da pontuação. Qualquer efeito específico deve ser tratado como desconhecido até a análise do chamado do fornecedor.

Produtos e versões afetados

Produto: MediaWiki (listado como Mediawiki Mediawiki).
Intervalos na estrutura do registro: da 1.39.0 até antes da 1.39.16; da 1.43.0 até antes da 1.43.6; da 1.44.0 até antes da 1.44.3; e a versão 1.45.0.
O texto da descrição indica que as versões anteriores a 1.39.16, 1.43.6, 1.44.3 e 1.45.1 são afetadas. A lista estruturada não mostra 1.45.1 como limite, portanto as duas fontes divergem e isso deve ser verificado com o fornecedor.

Status de exploração

O registro não indica inclusão no catálogo KEV da CISA, e não há dados de EPSS.
Nas fontes consultadas não há exploração confirmada.

Correção e mitigação

Atualize o MediaWiki para a linha de versão correspondente à sua instalação: 1.39.16, 1.43.6, 1.44.3 ou 1.45.1, conforme a descrição.
O campo estruturado de correções está vazio. Use o chamado do fornecedor no Phabricator para confirmar as versões corrigidas antes de planejar a mudança.
Até concluir a atualização, restrinja o acesso aos endpoints da API do wiki sempre que for operacionalmente viável, por exemplo a redes confiáveis ou usuários autenticados.

Orientações de detecção

Faça o inventário de todas as instâncias do MediaWiki e registre as versões exatas, incluindo extensões que possam alterar o comportamento da API.
Revise os logs do servidor web e da aplicação em busca de volumes incomuns ou requisições malformadas aos endpoints da API que solicitam saída em XML.
Compare os resultados com as orientações do fornecedor quando estas forem confirmadas.

Limitações das informações disponíveis

O registro não tem título, por isso o título desta análise foi escrito a partir da descrição.
A única referência é o chamado do Wikimedia no Phabricator, marcado como Permissions Required, cujo conteúdo não estava disponível para esta análise.
A entrada de CVSS 4.0 informada pelo CNA mostra pontuação 0, o que é pouco claro e não foi usado na avaliação.
Não há detalhes técnicos sobre o gatilho da falha, e nenhum é incluído aqui.

Perguntas frequentes

O que é a CVE-2025-67484?

É uma fraqueza de validação imprópria de entrada (CWE-20) no Wikimedia MediaWiki, associada ao arquivo includes/Api/ApiFormatXml.Php. O NVD atribui pontuação 9,8 no CVSS 3.1.

Quais versões do MediaWiki estão corrigidas?

A descrição cita 1.39.16, 1.43.6, 1.44.3 e 1.45.1 como versões a partir das quais as anteriores deixam de ser afetadas. O campo estruturado de correções está vazio, então confirme no chamado do fornecedor no Phabricator.

Esta vulnerabilidade está sendo explorada?

O registro não a lista no KEV da CISA, e nas fontes consultadas não há exploração confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.