bombobombone/cve-2026-103440Resumen del informe y script de prueba de concepto local que demuestra CVE-2026-103440, una divulgación de la API de PageTriage de nombres de usuario de revisores suprimidos en MediaWiki.
Reportero: Marco Paciaroni (BomboBombone).
La API pública pagetriagelist devolvía el nombre de usuario y los enlaces de perfil de un revisor incluso cuando la cuenta estaba suprimida. Un llamador anónimo podía recuperar los datos si existía un registro de revisión de PageTriage para esa cuenta.
En un wiki local con PageTriage habilitado, crea un registro de revisión para una cuenta de prueba y suprime esa cuenta mediante el flujo de trabajo de moderación normal. Luego consulta la API sin iniciar sesión:
python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php
La solicitud es de solo lectura. Utiliza únicamente una instancia de prueba local autorizada; el script solo acepta URL de API de loopback.