bombobombone/cve-2026-103584Informe saneado y script PoC solo para loopback de CVE-2026-103584, un XSS del esquema de URL javascript: en el renderizado de LicenseUrl de MediaWiki CommonsMetadata.
Reportero: Marco Paciaroni (BomboBombone).
CommonsMetadata copiaba el valor de licensetpl_link desde la descripción de un archivo al campo LicenseUrl de los metadatos de la imagen sin restringir su esquema de URL. Un editor podía almacenar una URL javascript:. Cuando una interfaz renderizaba esos metadatos como un enlace, un visitante que lo siguiera podía ejecutar script en el origen del wiki.
El CVE-2026-103585 emparejado cubre la ruta del consumidor MediaSearch QuickView.
Usa una descripción de archivo desechable en un wiki de prueba local con un marcador inofensivo:
<span class="licensetpl"><span class="licensetpl_link">javascript:alert("CVE_LICENSE_URL_XSS")</span><span class="licensetpl_short">Test license</span><span class="licensetpl_long">Local test</span></span>
Luego consulta la API local:
python poc.py --api http://127.0.0.1:8080/w/api.php --title File:LicenseUrlProbe.png
El script comprueba si la API devuelve el esquema ejecutable en LicenseUrl.value. Para observar el comportamiento del navegador, abre el archivo en la interfaz local de MediaSearch y sigue su enlace de licencia. El script solo permite URLs de API de loopback.