VIR Vulnerability Intelligence Relay

CVE-2011-1579

medium
Published 2011-04-27 · Modified 2026-04-29
💬 Discuss on Community ✚ Propose mitigation
CVSS v3
—
CVSS v4 NEW
—
not yet in upstream
VIR risk
5.8

Description

The checkCss function in includes/Sanitizer.php in the wikitext parser in MediaWiki before 1.16.3 does not properly validate Cascading Style Sheets (CSS) token sequences, which allows remote attackers to conduct cross-site scripting (XSS) attacks or obtain sensitive information by using the \2f\2a and \2a\2f hex strings to surround CSS comments.

Predictions

Exploit likelihood
20%
Patch ETA
—

Heuristic predictions, AS-IS, for prioritization only.

Mitigations

No mitigations published for this CVE yet.

The vendor-content worker queues fetches as references arrive (check back in a few minutes). Or — if you've already worked around this in production — publish your fix to the community-verified tier.

✚ Propose a mitigation on Community → Mitigations published via the community go through AI scoring + 2 human reviewers + 7-day silent objection window before landing here with source_tier=community-verified.

OS impact
debian Debian Fixed 5 releases
VersionStatusFixed in
trixie Fixed 1:1.15.5-5
sid Fixed 1:1.15.5-5
forky Fixed 1:1.15.5-5
bullseye Fixed 1:1.15.5-5
bookworm Fixed 1:1.15.5-5

Application impact
VendorProductVersionsFixed
mediawikimediawiki{"endIncluding":"1.16.2"}
mediawikimediawiki1.1.0
mediawikimediawiki1.2.0
mediawikimediawiki1.2.1
mediawikimediawiki1.2.2
mediawikimediawiki1.2.3
mediawikimediawiki1.2.4
mediawikimediawiki1.2.5
mediawikimediawiki1.2.6
mediawikimediawiki1.3
mediawikimediawiki1.3.0
mediawikimediawiki1.3.1
mediawikimediawiki1.3.2
mediawikimediawiki1.3.3
mediawikimediawiki1.3.4
mediawikimediawiki1.3.5
mediawikimediawiki1.3.6
mediawikimediawiki1.3.7
mediawikimediawiki1.3.8
mediawikimediawiki1.3.9
mediawikimediawiki1.3.10
mediawikimediawiki1.3.11
mediawikimediawiki1.3.12
mediawikimediawiki1.3.13
mediawikimediawiki1.3.14
mediawikimediawiki1.3.15
mediawikimediawiki1.4
mediawikimediawiki1.4.0
mediawikimediawiki1.4.1
mediawikimediawiki1.4.2
mediawikimediawiki1.4.3
mediawikimediawiki1.4.4
mediawikimediawiki1.4.5
mediawikimediawiki1.4.6
mediawikimediawiki1.4.7
mediawikimediawiki1.4.8
mediawikimediawiki1.4.9
mediawikimediawiki1.4.10
mediawikimediawiki1.4.11
mediawikimediawiki1.4.12
mediawikimediawiki1.4.13
mediawikimediawiki1.4.14
mediawikimediawiki1.5
mediawikimediawiki1.5.0
mediawikimediawiki1.5.1
mediawikimediawiki1.5.2
mediawikimediawiki1.5.3
mediawikimediawiki1.5.4
mediawikimediawiki1.5.5
mediawikimediawiki1.5.6
mediawikimediawiki1.5.7
mediawikimediawiki1.5.8
mediawikimediawiki1.6.0
mediawikimediawiki1.6.1
mediawikimediawiki1.6.2
mediawikimediawiki1.6.3
mediawikimediawiki1.6.4
mediawikimediawiki1.6.5
mediawikimediawiki1.6.6
mediawikimediawiki1.6.7
mediawikimediawiki1.6.8
mediawikimediawiki1.6.9
mediawikimediawiki1.6.10
mediawikimediawiki1.6.11
mediawikimediawiki1.6.12
mediawikimediawiki1.7.0
mediawikimediawiki1.7.1
mediawikimediawiki1.7.2
mediawikimediawiki1.7.3
mediawikimediawiki1.8.0
mediawikimediawiki1.8.1
mediawikimediawiki1.8.2
mediawikimediawiki1.8.3
mediawikimediawiki1.8.4
mediawikimediawiki1.8.5
mediawikimediawiki1.9.0
mediawikimediawiki1.9.1
mediawikimediawiki1.9.2
mediawikimediawiki1.9.3
mediawikimediawiki1.9.4
mediawikimediawiki1.9.5
mediawikimediawiki1.9.6
mediawikimediawiki1.10.0
mediawikimediawiki1.10.1
mediawikimediawiki1.10.2
mediawikimediawiki1.10.3
mediawikimediawiki1.10.4
mediawikimediawiki1.11
mediawikimediawiki1.11.0
mediawikimediawiki1.11.1
mediawikimediawiki1.11.2
mediawikimediawiki1.12.0
mediawikimediawiki1.12.1
mediawikimediawiki1.12.2
mediawikimediawiki1.12.3
mediawikimediawiki1.12.4
mediawikimediawiki1.13.0
mediawikimediawiki1.13.1
mediawikimediawiki1.13.2
mediawikimediawiki1.13.3
mediawikimediawiki1.13.4
mediawikimediawiki1.14.0
mediawikimediawiki1.14.1
mediawikimediawiki1.15.0
mediawikimediawiki1.15.1
mediawikimediawiki1.15.2
mediawikimediawiki1.15.3
mediawikimediawiki1.15.4
mediawikimediawiki1.15.5
mediawikimediawiki1.16.0
mediawikimediawiki1.16.1

References

CWEs

CWE-20

Community-verified mitigations for this CVE will appear above when contributors publish them.

Verify integrity in audit chain (admin only). AS-IS.