Semantic MediaWiki: Unkontrollierter Ressourcenverbrauch über #set_recurring_event
Zusammenfassung
Die Erweiterung Semantic MediaWiki für MediaWiki ab 2.5.0 bis vor 7.3.1 erzwingt das Limit smwgMaxNumRecurringEvents nicht, wenn ein wiederkehrendes Ereignis kein Enddatum hat und ein grosses limit-Parameter angegeben wird. Ein Editor mit geringen Berechtigungen kann eine Seite speichern, die Tausende oder Millionen von Datums-Subobjekten erzeugt, was CPU, Arbeitsspeicher und Datenbank erschöpft. Die Auswirkung beschränkt sich auf die Verfügbarkeit; Vertraulichkeit und Integrität sind nicht betroffen.
Betroffen
- Semantic MediaWiki 2.5.0 bis vor 7.3.1 (Bereich des CNA)
- Das Advisory GHSA-vxrm-2g9f-2vqh bestätigt 7.3.0 bis 7.3.1-alpha und gibt den Bereich 7.3.0 bis vor 7.3.1 an; VulDB nennt bis 7.3.0
Behoben in
- Semantic MediaWiki 7.3.1 (veröffentlicht am 28. September 2026)
- Sicherheitskorrekturen werden nur in der neuesten Hauptversion bereitgestellt; ältere Hauptversionen müssen auf 7.3.1 aktualisiert werden
Umgehung
Unbekannt.
- Bearbeitungsrechte bis zur Aktualisierung auf vertrauenswürdige Benutzer beschränken (eigene Einschätzung, nicht aus einer Herstellerquelle)
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt (OffSeq; CISA KEV nicht geprüft)
- Kein öffentlicher Proof of Concept gefunden; das Advisory enthält ein Reproduktionsskript
- Angreifer benötigt ein Editor-Konto (oder anonymes Bearbeiten muss aktiviert sein)
Unsere Empfehlung
- Semantic MediaWiki auf 7.3.1 aktualisieren und die Kompatibilität mit dem MediaWiki-Core (1.43 bis 1.46) prüfen
- Internetfähige Wikis sowie Wikis mit Selbstregistrierung oder offenem Bearbeiten priorisieren
- Bearbeitungsberechtigungen prüfen und auf Seiten mit grossen #set_recurring_event-Limits sowie ungewöhnlichem Ressourcenverbrauch achten
- Hinweis: Der CVSS-4.0-Wert 8.7 setzt keine Berechtigungen voraus; die Beschreibung verlangt aber ein Editor-Konto, weshalb das praktische Risiko davon abhängt, wer bearbeiten darf
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vxrm-2g9f-2vqh github.com
- Fix commit 215599f0fc03274fd4cee9ba0f7162f5a38c031b github.com
- VulnCheck advisory www.vulncheck.com
- VulDB entry 427118 vuldb.com
- OffSeq threat radar CVE-2026-116877 radar.offseq.com
- Strix CVE-2026-116877 www.strix.ai
- Semantic MediaWiki 7.3 release news professional.wiki
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:00.
Referenzen der NVD (3)
- https://github.com/SemanticMediaWiki/SemanticMediaWiki/commit/215599f0fc03274fd4cee9ba0f7162f5a38c031b
- https://github.com/SemanticMediaWiki/SemanticMediaWiki/security/advisories/GHSA-vxrm-2g9f-2vqh
- https://www.vulncheck.com/advisories/semantic-mediawiki-2.5.0-before-7.3.1-resource-exhaustion-via-set-recurr…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.