bombobombone/cve-2026-96877ملاحظات إثبات المفهوم والتحقق من الترقيع الخاصة بـ CVE-2026-96877، وهو ثغرة XSS انعكاسية في مسار التنقل (breadcrumbs) الخاص بالبحث النصي الكامل في Cargo Drilldown، مع نص برمجي للكشف مكتوب بلغة Python.
المُبلِّغ: Marco Paciaroni (BomboBombone).
عرض Cargo مصطلح بحث نصي كامل في مسار التنقل Drilldown الخاص به دون تهريب HTML. وبالتالي كان من الممكن أن يتحول إدخال البحث إلى ترميز قابل للتنفيذ في صفحة النتائج.
يحدد سجل CVE الإصدارات حتى 3.9.4 من Cargo على أنها متأثرة.
اعتمدت المشكلة على تفعيل فهرسة الصفحات بالنص الكامل وعلى وجود جدول قابل للاستعلام علنًا تصل نتائجه إلى العرض المتأثر. كان بإمكان مهاجم مجهول إعداد طلب ينفّذ برنامجًا نصيًا عندما يفتحه الضحية.
يسجّل التقرير الأصلي تنفيذًا محليًا في المتصفح انطلاقًا من مسار التنقل، بالإضافة إلى عنصر تحكم عادي عُرض دون عنصر قابل للتنفيذ.
يقوم التغيير في المنبع بتهريب مصطلح البحث النصي الكامل المعروض قبل إضافته إلى مسار التنقل.
python poc.py https://wiki.example TABLE SEARCH_TERM
يجب أن يستخدم الجدول فهرسة الصفحات بالنص الكامل في Cargo، ويجب أن يطابق المصطلح المُقدَّم نص الصفحة. ويُبلّغ السكربت عمّا إذا كان مسار التنقل يحتوي على العلامة غير المهربة غير الضارة.