bombobombone/cve-2026-96876Prueba de concepto y notas de parche para CVE-2026-96876, un XSS reflejado en los mensajes de error de exportación de MediaWiki Cargo, con un script para verificar la salida de excepciones sin escapar.
Reportero: Marco Paciaroni (BomboBombone).
CargoExport emitía mensajes de excepción sin escapar el HTML. Algunas excepciones incluían texto no confiable de alias de campo, lo que permitía que la salida de error se convirtiera en marcado ejecutable.
El registro de CVE identifica Cargo hasta la versión 3.9.4 como afectada.
El informe original estableció el acceso anónimo a la ruta de error vulnerable sin una página guardada ni datos de Cargo existentes. Una víctima que abriera una solicitud manipulada podría ejecutar script en el origen del wiki con sus permisos disponibles.
El informe original registra la ejecución en el navegador a partir de la respuesta de error HTML local. La solicitud de validación no modificó el estado del wiki, y un control ordinario no creó un elemento ejecutable.
El cambio upstream escapa en HTML los mensajes de excepción antes de imprimirlos en la respuesta de exportación.
python poc.py https://wiki.example
El script solicita la ruta de error de exportación afectada con un marcador DOM inofensivo e informa si el marcador se refleja como un elemento script.