CVE-2025-53485

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2025-53485
SetTranslationHandler.php does not validate that the user is an election admin, allowing any (even unauthenticated) user to change election-related translation text. While partially broken in newer MediaWiki versions, the check is still missing. This issue affects Mediawiki - SecurePoll extension: from 1.39.X before 1.39.13, from 1.42.X before 1.42.7, from 1.43.X before 1.43.2.

7.5 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 3.6

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact NONE

Integrity Impact HIGH

Availability Impact NONE

Scope UNCHANGED

References
Link Resource
https://gerrit.wikimedia.org/r/149668
https://phabricator.wikimedia.org/T392341
Configurations

No configuration.

History

08 Jul 2025, 18:15

Type Values Removed Values Added
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 7.5

08 Jul 2025, 16:18

Type Values Removed Values Added
Summary
  • (es) SetTranslationHandler.php no valida que el usuario sea administrador electoral, lo que permite que cualquier usuario (incluso sin autenticar) modifique el texto de traducción relacionado con las elecciones. Aunque funciona parcialmente mal en las versiones más recientes de MediaWiki, la comprobación sigue sin funcionar. Este problema afecta a Mediawiki - extensión SecurePoll: de la versión 1.39.X a la 1.39.13, de la versión 1.42.X a la 1.42.7 y de la versión 1.43.X a la 1.43.2.

04 Jul 2025, 18:15

Type Values Removed Values Added
New CVE
Information

Published : 2025-07-04 18:15

Updated : 2025-07-08 18:15

NVD link : CVE-2025-53485

Mitre link : CVE-2025-53485

CVE.ORG link : CVE-2025-53485

JSON object : View

Products Affected

No product.

CWE
CWE-862

Missing Authorization