bombobombone/cve-2026-96875Bericht und Proof-of-Concept-Skript für CVE-2026-96875, eine reflektierte XSS in den Hierarchiefiltern von MediaWiki Cargo Drilldown, mit Validierungshinweisen und Referenzen auf den Upstream-Fix.
Melder: Marco Paciaroni (BomboBombone).
Cargo hat beim Formatieren eines Hierarchiefilter-Werts für die Drilldown-Breadcrumb-Navigation die Maskierung nicht beibehalten. Anfragedaten konnten in der resultierenden Seite als HTML interpretiert werden.
Der CVE-Eintrag identifiziert Cargo bis einschließlich 3.9.4 als betroffen.
Das gemeldete Szenario erforderte eine öffentliche Cargo-Tabelle mit einem Hierarchiefeld. Ein anonymer Angreifer konnte eine Anfrage vorbereiten, die ein Opfer öffnen sollte, was zur Skriptausführung im Wiki-Ursprung führte.
Der ursprüngliche Bericht dokumentiert die Browser-Ausführung aus der reflektierten Filteranzeige auf einer lokalen MediaWiki-Instanz. Ein gewöhnlicher Filterwert wurde als Text gerendert.
Die Upstream-Änderung entfernt die Entity-Dekodierung aus der formatierten Filterausgabe und passt die Nachrichtenverarbeitung an, um die beabsichtigte Textgrenze beizubehalten.
python poc.py https://wiki.example TABLE FIELD
Das Skript sendet die Hierarchiefilter-Anfrage mit einem harmlosen DOM-Marker und meldet, ob die Antwort ein nicht maskiertes Bildelement enthält.
Die öffentliche CVE-Beschreibung kennzeichnet dieses Problem derzeit als stored XSS. Der eingereichte Bericht beschreibt einen Anfragewert, der in der Antwort reflektiert wird. Dieser Bericht beschreibt das beobachtete Verhalten, ohne den CVE-Eintrag zu ändern.