bombobombone/cve-2026-103445Resumen del informe y prueba de concepto local para CVE-2026-103445, un XSS almacenado en MediaWiki PageForms #autoedit mediante URLs de redirección javascript:.
#autoeditReportero: Marco Paciaroni (BomboBombone).
PageForms utilizaba el parámetro redirect como el href de un enlace generado sin rechazar esquemas ejecutables. Un editor con permiso ordinario de edición de páginas podía guardar una URL javascript: que se ejecutaba cuando un visitante hacía clic en el enlace.
Ejecuta el script para imprimir el wikitexto del PoC. Guárdalo en una página desechable y editable en un wiki local con PageForms habilitado, luego haz clic en el enlace Trigger generado. El marcador añade un atributo data al cuerpo de la página.
python poc.py
Usa únicamente un wiki de prueba local.