bombobombone/cve-2026-96875تقرير وسكربت إثبات مفهوم للثغرة CVE-2026-96875، وهي ثغرة XSS انعكاسية في مرشّحات التسلسل الهرمي الخاصة بـ MediaWiki Cargo Drilldown، مع ملاحظات التحقق ومراجع الإصلاح من المصدر الأصلي.
المُبلِّغ: Marco Paciaroni (BomboBombone).
لم يحافظ Cargo على التهريب (escaping) عند تنسيق قيمة مرشح التسلسل الهرمي لمسار التنقل (breadcrumb) في Drilldown. كان من الممكن تفسير بيانات الطلب على أنها HTML في الصفحة الناتجة.
يحدد سجل CVE الإصدارات حتى 3.9.4 من Cargo على أنها متأثرة.
تطلّب السيناريو المُبلَّغ عنه وجود جدول Cargo عام يحتوي على حقل تسلسل هرمي. كان بإمكان مهاجم مجهول تجهيز طلب ليفتحه الضحية، مما يؤدي إلى تنفيذ سكربت في أصل (origin) الويكي.
يسجّل التقرير الأصلي تنفيذًا في المتصفح ناتجًا عن عرض المرشح المنعكس على نسخة MediaWiki محلية. وقد عُرضت قيمة مرشح عادية كنص.
يزيل التغيير في المصدر الأعلى فك ترميز الكيانات (entity decoding) من مخرجات المرشح المنسّقة، ويعدّل معالجة الرسائل للحفاظ على حدود النص المقصودة.
python poc.py https://wiki.example TABLE FIELD
يرسل السكربت طلب مرشح التسلسل الهرمي مع علامة DOM غير ضارة، ويبلّغ عمّا إذا كان الرد يحتوي على عنصر صورة غير مُهرَّب.
يصنّف وصف CVE العام حاليًا هذه المشكلة على أنها XSS مخزَّن. يصف التقرير المُقدَّم قيمة طلب منعكسة في الرد. يصف هذا التقرير ذلك السلوك الملاحَظ دون تغيير سجل CVE.