bombobombone/cve-2026-103440ملخص تقرير ونص إثبات مفهوم محلي يوضح CVE-2026-103440، وهو كشف في واجهة برمجة تطبيقات PageTriage لأسماء المراجعين المحجوبة على MediaWiki.
المُبلِّغ: Marco Paciaroni (BomboBombone).
أعادت واجهة برمجة التطبيقات العامة pagetriagelist اسم المستخدم وروابط الملف الشخصي للمراجع حتى عندما كان الحساب محظورًا. كان بإمكان مُستدعٍ مجهول استرداد البيانات إذا كان سجل مراجعة PageTriage موجودًا لذلك الحساب.
على ويكي محلي مع تفعيل PageTriage، أنشئ سجل مراجعة لحساب اختباري واحظر ذلك الحساب من خلال سير عمل الإشراف المعتاد. ثم استعلم عن واجهة برمجة التطبيقات دون تسجيل الدخول:
python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php
الطلب للقراءة فقط. استخدم فقط نسخة اختبار محلية مُصرَّح بها؛ يقبل النص البرمجي عناوين URL لواجهة برمجة التطبيقات على الاسترجاع المحلي فقط.