bombobombone/cve-2026-96872تقرير وإثبات مفهوم لـ CVE-2026-96872، وهو تجاوز للتفويض في الشيفرة غير المحفوظة في WikiLambda، مع ملاحظات التحقق ومراجع التصحيح في المنبع.
المُبلِّغ: Marco Paciaroni (BomboBombone).
لم يطبّق WikiLambda قواعد التفويض الخاصة بالشيفرة غير المحفوظة على كامل بيانات الدوال المتداخلة. كان بإمكان مُستدعٍ مجهول أن يتسبب في عبور شيفرة مصدرية غير معتمدة لحدود الأذونات والوصول إلى مُقيِّم الدوال المُهيَّأ.
يُحدِّد سجل CVE إصدارات WikiLambda الأقدم من 1.47.0 باعتبارها متأثرة.
تتطلب المشكلة وجود WikiLambda ومُنسِّق/مُقيِّم دوال مُهيَّأ. وهي تتجاوز الإذن الذي يحكم إرسال الشيفرة غير المحفوظة. يستخدم المُقيِّم عزل WASM؛ ولا يُثبت هذا الاكتشاف تنفيذًا على مضيف MediaWiki أو هروبًا من بيئة العزل.
يسجّل التقرير الأصلي مقارنة محلية مُتحكَّم بها باستخدام خدمة التقاط. فقد تم تمرير طلب كان ينبغي رفضه عبر حدود التفويض. وقد أثبت ذلك إرسال شيفرة غير مصرّح بها؛ ولم تُنفِّذ خدمة الالتقاط أوامر على المضيف.
يجعل التغيير في المنبع عملية كشف الشيفرة غير المحفوظة تفحص الكائنات والقوائم المتداخلة. ويجب أن يراعي التفويض وجود الشيفرة في كامل البنية المُرسَلة قبل تمرير الطلب.
python poc.py --api http://127.0.0.1:4000/api.php
يجب أن يُوجِّه ويكي الاختبار المحلي مُنسِّق WikiLambda الخاص به إلى خدمة الالتقاط على واجهة الاسترجاع (loopback) التي يُشغِّلها السكربت. يقارن PoC بين عنصر التحكم المرفوض وطلب Z825 المتداخل ويستخدم علامة مُرجَعة غير ضارة.