bombobombone/cve-2026-103584Bereinigter Bericht und Loopback-only-PoC-Skript für CVE-2026-103584, eine javascript:-URL-Scheme-XSS in der MediaWiki-CommonsMetadata-LicenseUrl-Darstellung.
Reporter: Marco Paciaroni (BomboBombone).
CommonsMetadata kopierte den Wert licensetpl_link aus einer Dateibeschreibung in das Feld LicenseUrl der Bildmetadaten, ohne dessen URL-Schema einzuschränken. Ein Bearbeiter konnte eine javascript:-URL speichern. Wenn eine Oberfläche diese Metadaten als Link darstellte, konnte ein Besucher, der ihm folgte, Skript im Wiki-Ursprung ausführen.
Die zugehörige CVE-2026-103585 deckt den MediaSearch-QuickView-Konsumentenpfad ab.
Verwenden Sie eine Wegwerf-Dateibeschreibung auf einem lokalen Test-Wiki mit einem harmlosen Marker:
<span class="licensetpl"><span class="licensetpl_link">javascript:alert("CVE_LICENSE_URL_XSS")</span><span class="licensetpl_short">Test license</span><span class="licensetpl_long">Local test</span></span>
Fragen Sie dann die lokale API ab:
python poc.py --api http://127.0.0.1:8080/w/api.php --title File:LicenseUrlProbe.png
Das Skript prüft, ob die API das ausführbare Schema in LicenseUrl.value zurückgibt. Um das Browserverhalten zu beobachten, öffnen Sie die Datei in der lokalen MediaSearch-Oberfläche und folgen Sie ihrem Lizenzlink. Das Skript erlaubt nur Loopback-API-URLs.