bombobombone/cve-2026-103441Preuve de concept locale et rapport assaini pour CVE-2026-103441, une faille d'injection d'objet PHP dans l'API action=parse de MediaWiki pouvant mener à une RCE via des chaînes de gadgets.
Rapporteur : Marco Paciaroni (BomboBombone).
L'API publique action=parse acceptait des entités Wikibase sérialisées en PHP. La construction d'objets sans restriction pouvait atteindre un destructeur Smarty qui supprime un chemin choisi par l'appelant. Les chaînes de gadgets PHP disponibles dans les déploiements Wikimedia affectés peuvent étendre ce chemin d'injection d'objet jusqu'à l'exécution de code à distance.
Le script crée un canari jetable dans un répertoire temporaire, envoie l'entité sérialisée à une API MediaWiki locale, et vérifie si le processus PHP a supprimé le canari. Il utilise uniquement une URL d'API en boucle locale et nettoie le répertoire temporaire.
python poc.py --api-url http://127.0.0.1:4000/api.php
À exécuter uniquement contre une installation locale isolée avec Wikibase Repository et Widgets activés.