bombobombone/cve-2026-102971تقرير معقّم ونموذج إثبات مفهوم (PoC) يعمل على loopback فقط للثغرة CVE-2026-102971، وهي استجابة مراجعة REST في MediaWiki تسرّب معرّفات المستخدمين لمؤلفي المراجعات المخفية.
المُبلِّغ: Marco Paciaroni (BomboBombone).
كان من الممكن أن تتضمن استجابة المراجعة المتوافقة مع RESTBase في MediaWiki المعرّف الرقمي للمستخدم لمؤلف تم إخفاء اسمه. كانت الاستجابة لا تزال تضبط user_text على null وتضع علامة على المؤلف كمخفي، لكن المعرّف المكشوف كان يمكن ربطه بحساب عبر واجهة برمجة التطبيقات العامة للبحث عن المستخدمين.
كان بإمكان مُستدعٍ غير مُصادَق عليه ربط مؤلف مراجعة مخفي عمدًا بحساب المؤلف. يتطلب هذا الكشف وجود مراجعة يكون فيها حقل المؤلف مخفيًا وويكي يكشف عن مسار المراجعة الأساسي REST.
يقوم النص البرمجي بإنشاء صفحة محلية قابلة للتخلص منها، ويخفي مؤلف مراجعتها الجديدة، ويقارن استجابة REST القياسية مع تمكين التوافق مع RESTBase، ويتحقق من أن البحث المحلي العام عن المستخدم يحل المعرّف، وينظّف حالة الصفحة والمراجعة.
شغّله فقط مقابل نسخة اختبار معزولة من MediaWiki على loopback. يرفض المضيفات غير loopback ويتطلب علامة تأكيد صريحة. يطلب كلمة مرور حساب الاختبار بدلًا من قبولها على سطر الأوامر.
python poc.py --base http://127.0.0.1:8080 --username LocalAdmin --confirm-local-test
يحتاج الحساب إلى إذن لتحرير صفحة قابلة للتخلص منها وإخفاء مؤلف مراجعتها (suppressrevision).