bombobombone/cve-2026-96874ملاحظات إثبات المفهوم والتحقق من الترقيع الخاصة بـ CVE-2026-96874، وهو ثغرة XSS مخزّنة في تسميات تبويبات MediaWiki Cargo Drilldown تُعرض بصيغة HTML خام.
المُبلِّغ: Marco Paciaroni (BomboBombone).
كان Cargo يخزّن تسميات تبويبات Drilldown في بيانات الصفحة الوصفية (metadata) ويعرضها بصيغة HTML خام. وقد تتحول التسمية التي يتحكم بها محرر القالب إلى ترميز قابل للتنفيذ عند عرض صفحة Drilldown.
يحدد سجل CVE الإصدارات المتأثرة من Cargo حتى الإصدار 3.9.4.
احتاج المهاجم إلى صلاحية تحرير قالب يعلن عن Cargo. وعند تفعيل استعلامات Cargo العامة، كان بإمكان زوار صفحة Drilldown المتأثرة أن يشملوا مستخدمين مجهولين وحسابات ذات صلاحيات. وقد حدث تنفيذ السكربت في أصل الويكي (wiki origin).
يسجّل التقرير الأصلي قيام حساب عادي بتحرير قالب، وتنفيذ السكربت في المتصفح أثناء زيارة مجهولة. وقد أدت استعادة تسمية عادية إلى إزالة السلوك الملاحَظ.
يجعل التغيير في المصدر الأعلى (upstream) تسميات روابط التبويبات تُعرض عبر مساعد HTML يقوم بتهريب النص (text-escaping) بدلاً من قبول التسمية بصيغة HTML خام.
python poc.py ExistingCargoTable Name --wiki https://wiki.example
يطبع السكربت إعلان Cargo يحتوي على علامة DOM غير ضارة وعنوان URL المقابل لـ Drilldown. طبّقه فقط على قالب اختباري مصرّح لك بتحريره، ثم استعد الإعلان الأصلي.