bombobombone/cve-2026-103445ملخص تقرير وإثبات مفهوم محلي لـ CVE-2026-103445، وهو XSS مخزّن في MediaWiki PageForms #autoedit عبر عناوين URL لإعادة التوجيه باستخدام javascript:.
#autoedit في PageFormsالمُبلِّغ: Marco Paciaroni (BomboBombone).
استخدم PageForms المعامل redirect كقيمة href لرابط مُولَّد دون رفض المخططات القابلة للتنفيذ. كان بإمكان محرِّر يمتلك صلاحية تحرير الصفحات العادية حفظ رابط javascript: يعمل عند نقر الزائر عليه.
شغِّل السكربت لطباعة نص الويكي الخاص بإثبات المفهوم. احفظه على صفحة قابلة للتحرير ومخصّصة لذلك في ويكي محلي مع تمكين PageForms، ثم انقر رابط Trigger المُولَّد. تُضيف العلامة سمة بيانات إلى جسم الصفحة.
python poc.py
استخدم ويكي اختبار محليًا فقط.