bombobombone/cve-2026-103437Preuve de concept locale et rapport assaini pour CVE-2026-103437, une XSS par URL canonique dans MediaWiki ReadingLists déclenchée via des liens d'importation forgés.
Rapporteur : Marco Paciaroni (BomboBombone).
ReadingLists acceptait une URL de projet importée et utilisait le canonicalurl de la réponse comme lien de carte sans vérifier son schéma. Un visiteur connecté qui ouvrait un lien d'importation conçu à cet effet et cliquait sur la carte pouvait exécuter du JavaScript dans l'origine du wiki.
Le script démarre un dispositif de test d'API de projet en boucle locale et affiche une URL d'importation pour une installation locale de MediaWiki avec ReadingLists activé. Ouvrez cette URL en étant connecté au wiki local, puis cliquez sur la carte importée. Le marqueur inoffensif modifie le titre de l'onglet du navigateur.
python poc.py --wiki-url http://127.0.0.1:4002 --port 45813
Utilisez uniquement un wiki local isolé. Le script n'accepte que les URL de wiki en boucle locale.