bombobombone/cve-2026-96877Proof-of-Concept- und Patch-Verifizierungsnotizen für CVE-2026-96877, eine reflektierte XSS-Schwachstelle in den Breadcrumbs der Cargo-Drilldown-Volltextsuche, mit einem Python-Erkennungsskript.
Melder: Marco Paciaroni (BomboBombone).
Cargo zeigte einen Volltext-Suchbegriff in seinem Drilldown-Breadcrumb ohne HTML-Escaping an. Suchinhalte konnten dadurch auf der Ergebnisseite zu ausführbarem Markup werden.
Der CVE-Eintrag stuft Cargo bis einschließlich 3.9.4 als betroffen ein.
Das Problem setzte eine aktivierte Volltext-Seitenindizierung sowie eine öffentlich abfragbare Tabelle voraus, deren Ergebnisse in der betroffenen Anzeige dargestellt wurden. Ein anonymer Angreifer konnte eine Anfrage vorbereiten, die Skriptcode ausführte, sobald ein Opfer sie öffnete.
Der ursprüngliche Bericht dokumentiert eine lokale Browserausführung aus dem Breadcrumb sowie eine gewöhnliche Kontrolle, die ohne ausführbares Element gerendert wurde.
Die Upstream-Änderung maskiert den angezeigten Volltext-Suchbegriff, bevor er dem Breadcrumb hinzugefügt wird.
python poc.py https://wiki.example TABLE SEARCH_TERM
Die Tabelle muss die Cargo-Volltext-Seitenindizierung verwenden, und der angegebene Begriff muss mit dem Seitentext übereinstimmen. Das Skript meldet, ob der Breadcrumb den nicht maskierten harmlosen Marker enthält.