bombobombone/cve-2026-96872Informe y prueba de concepto de CVE-2026-96872, un bypass de autorización de código no guardado en WikiLambda, con notas de validación y referencias al parche upstream.
Reportero: Marco Paciaroni (BomboBombone).
WikiLambda no aplicaba sus reglas de autorización para código no guardado en todos los datos de funciones anidadas. Un llamador anónimo podía provocar que código fuente no aprobado cruzara el límite de permisos y llegara al evaluador de funciones configurado.
El registro CVE identifica como afectadas las versiones de WikiLambda anteriores a la 1.47.0.
El problema requiere WikiLambda y un orquestador/evaluador de funciones configurado. Omite el permiso que rige el envío de código no guardado. El evaluador utiliza aislamiento WASM; el hallazgo no establece ejecución en el host de MediaWiki ni un escape del sandbox.
El informe original documenta una comparación local controlada mediante un servicio de captura. Una solicitud que debería haber sido rechazada fue reenviada a través del límite de autorización. Esto estableció el envío no autorizado de código; el servicio de captura no ejecutó comandos del host.
El cambio upstream hace que la detección de código no guardado inspeccione objetos y listas anidados. La autorización debe tener en cuenta el código en toda la estructura enviada antes de reenviar una solicitud.
python poc.py --api http://127.0.0.1:4000/api.php
El wiki de pruebas local debe apuntar su orquestador de WikiLambda al servicio de captura en loopback iniciado por el script. El PoC compara el control rechazado con la solicitud Z825 anidada y utiliza un marcador devuelto inofensivo.