bombobombone/cve-2026-96878Bericht und Proof-of-Concept für CVE-2026-96878, eine gespeicherte XSS-Schwachstelle in den Exhibit-Feld-Aliasen von MediaWiki Cargo, mit Validierungshinweisen und Referenzen auf den Upstream-Fix.
Melder: Marco Paciaroni (BomboBombone).
Der Exhibit-Renderer von Cargo fügte Feldaliase ohne Kodierung für Text- und Attributkontexte in seine HTML-Darstellung ein. Ein Seitenbearbeiter konnte eine Abfrage persistieren, deren Aliase beim Anzeigen der Seite als Markup interpretiert wurden.
Der CVE-Eintrag identifiziert Cargo bis einschließlich 3.9.4 als betroffen.
Das gemeldete Szenario erforderte das Exhibit-Format, die Berechtigung zum Bearbeiten einer anderen Benutzern angezeigten Seite sowie eine Abfrage mit mehreren Feldern. Die Skriptausführung erfolgte im Wiki-Ursprung für Besucher dieser Seite.
Der ursprüngliche Bericht dokumentiert eine Browser-Ausführung aus einer Exhibit-Ansicht auf einer lokalen MediaWiki-Instanz. Ein gewöhnlicher Alias erzeugte kein ereignistragendes Element.
Die Upstream-Änderung erstellt die Exhibit-Darstellung mit HTML-Helfern, die Aliastext und Attributwerte in ihren jeweiligen Kontexten kodieren.
python poc.py TABLE FIELD_ONE FIELD_TWO
Das Skript gibt eine Cargo-Exhibit-Abfrage mit einem harmlosen DOM-Marker aus. Fügen Sie sie nur zu einer Testseite hinzu, die Sie berechtigt sind zu bearbeiten, beobachten Sie die gerenderte Exhibit-Ansicht und entfernen Sie sie anschließend wieder.
Die öffentliche CVE-Beschreibung bezeichnet dieses Problem derzeit als reflektiertes XSS. Der eingereichte Bericht beschreibt eine Abfrage, die in bearbeitbarem Seiteninhalt persistiert und durch einen späteren Seitenaufruf ausgelöst wird. Dieser Bericht beschreibt dieses gespeicherte Szenario, ohne den CVE-Eintrag zu ändern.