bombobombone/cve-2026-96876Proof-of-Concept und Patch-Notes für CVE-2026-96876, eine reflektierte XSS-Schwachstelle in Fehlermeldungen des MediaWiki-Cargo-Exports, mit einem Skript zur Überprüfung unescaped Ausgaben von Ausnahmen.
Melder: Marco Paciaroni (BomboBombone).
CargoExport gab Ausnahmemeldungen ohne HTML-Escaping aus. Einige Ausnahmen enthielten nicht vertrauenswürdigen Text aus Feld-Aliasen, wodurch die Fehlerausgabe zu ausführbarem Markup werden konnte.
Der CVE-Eintrag identifiziert Cargo bis einschließlich 3.9.4 als betroffen.
Der ursprüngliche Bericht belegte anonymen Zugriff auf den verwundbaren Fehlerpfad ohne gespeicherte Seite oder vorhandene Cargo-Daten. Ein Opfer, das eine manipulierte Anfrage öffnete, konnte Skript im Wiki-Ursprung mit seinen verfügbaren Berechtigungen ausführen.
Der ursprüngliche Bericht dokumentiert die Browser-Ausführung aus der lokalen HTML-Fehlerantwort. Die Validierungsanfrage veränderte den Wiki-Zustand nicht, und eine gewöhnliche Kontrolle erzeugte kein ausführbares Element.
Die Upstream-Änderung führt HTML-Escaping für Ausnahmemeldungen durch, bevor sie in der Exportantwort ausgegeben werden.
python poc.py https://wiki.example
Das Skript ruft den betroffenen Fehlerpfad des Exports mit einem harmlosen DOM-Marker auf und meldet, ob der Marker als Skriptelement reflektiert wird.