bombobombone/cve-2026-103442Lokaler Proof-of-Concept und bereinigter Bericht für CVE-2026-103442, eine PHP-Objektinjektion in der Merge-Session-Verarbeitung von MediaWiki CentralAuth, die zu Remote-Code-Ausführung führen kann.
Reporter: Marco Paciaroni (BomboBombone).
CentralAuth akzeptierte einen vom Browser gelieferten Merge-Session-Schlüssel beim Dekodieren des Migrationsstatus. Ein Benutzer mit dem Recht centralauth-merge konnte einen Schlüssel einsetzen, der einen PHP-Objektgraphen erzeugte. Die im Bericht beschriebene Guzzle-FileCookieJar-Kette schreibt eine durch das Objekt ausgewählte Datei; verfügbare Gadget-Ketten in der betroffenen Laufzeitumgebung können diese Objekt-Injection zu Remote-Code-Execution erweitern.
Verwenden Sie eine lokale MediaWiki-Installation mit CentralAuth und ein Testkonto, das über das Merge-Recht verfügt. Wählen Sie einen eindeutigen Marker-Pfad, der noch nicht existiert und für den lokalen PHP-Prozess beschreibbar ist:
python poc.py --base-url http://127.0.0.1:4016 --username TestMergeUser --password '<test-password>' --marker /tmp/cve-2026-103442-canary.txt
Das Skript akzeptiert nur Loopback-Basis-URLs. Es erstellt und entfernt die Marker-Datei während des Tests.