bombobombone/cve-2026-96874Proof-of-Concept- und Patch-Verifikationshinweise für CVE-2026-96874, ein gespeichertes XSS in MediaWiki Cargo Drilldown-Tab-Beschriftungen, die als rohes HTML gerendert werden.
Melder: Marco Paciaroni (BomboBombone).
Cargo speicherte Drilldown-Tab-Beschriftungen in Seitenmetadaten und renderte sie als rohes HTML. Eine von einem Vorlagen-Editor kontrollierte Beschriftung konnte zu ausführbarem Markup werden, wenn die Drilldown-Seite aufgerufen wurde.
Der CVE-Eintrag identifiziert Cargo bis einschließlich 3.9.4 als betroffen.
Der Angreifer benötigte die Berechtigung, eine Vorlage zu bearbeiten, die Cargo deklariert. Bei aktivierten öffentlichen Cargo-Abfragen konnten Besucher der betroffenen Drilldown-Seite anonyme Benutzer und privilegierte Konten umfassen. Die Skriptausführung erfolgte im Wiki-Ursprung.
Der ursprüngliche Bericht dokumentiert eine Vorlagenbearbeitung durch ein gewöhnliches Konto und eine Browser-Ausführung während eines anonymen Besuchs. Das Wiederherstellen einer gewöhnlichen Beschriftung beseitigte das beobachtete Verhalten.
Die Upstream-Änderung rendert Tab-Link-Beschriftungen mit einem HTML-Helfer zur Text-Escaping, anstatt die Beschriftung als rohes HTML zu akzeptieren.
python poc.py ExistingCargoTable Name --wiki https://wiki.example
Das Skript gibt eine Cargo-Deklaration mit einem harmlosen DOM-Marker und die entsprechende Drilldown-URL aus. Wenden Sie es nur auf eine Testvorlage an, die Sie berechtigt sind zu bearbeiten, und stellen Sie anschließend die ursprüngliche Deklaration wieder her.