bombobombone/cve-2026-103440Résumé du rapport et script de preuve de concept local démontrant CVE-2026-103440, une divulgation par l'API PageTriage des noms d'utilisateur de réviseurs supprimés sur MediaWiki.
Rapporteur : Marco Paciaroni (BomboBombone).
L'API publique pagetriagelist renvoyait le nom d'utilisateur et les liens de profil d'un réviseur même lorsque le compte était supprimé. Un appelant anonyme pouvait récupérer ces données si un enregistrement de révision PageTriage existait pour ce compte.
Sur un wiki local avec PageTriage activé, créez un enregistrement de révision pour un compte de test et supprimez ce compte via le flux de modération normal. Interrogez ensuite l'API sans être connecté :
python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php
La requête est en lecture seule. Utilisez uniquement une instance de test locale autorisée ; le script n'accepte que les URL d'API en boucle locale.