bombobombone/cve-2026-96872Rapport et preuve de concept pour CVE-2026-96872, un contournement d'autorisation sur du code non enregistré dans WikiLambda, avec des notes de validation et des références au correctif amont.
Rapporteur : Marco Paciaroni (BomboBombone).
WikiLambda n'appliquait pas ses règles d'autorisation relatives au code non enregistré à l'ensemble des données de fonctions imbriquées. Un appelant anonyme pouvait faire franchir la frontière de permissions à du code source non approuvé et l'acheminer jusqu'à l'évaluateur de fonctions configuré.
L'enregistrement CVE identifie comme affectées les versions de WikiLambda antérieures à 1.47.0.
Le problème nécessite WikiLambda ainsi qu'un orchestrateur/évaluateur de fonctions configuré. Il contourne la permission régissant la soumission de code non enregistré. L'évaluateur utilise l'isolation WASM ; la découverte n'établit ni une exécution sur l'hôte MediaWiki ni une évasion de bac à sable.
Le rapport d'origine consigne une comparaison locale contrôlée à l'aide d'un service de capture. Une requête qui aurait dû être rejetée a été transmise au-delà de la frontière d'autorisation. Cela a établi la soumission non autorisée de code ; le service de capture n'a pas exécuté de commandes sur l'hôte.
La modification amont fait en sorte que la détection de code non enregistré inspecte les objets et les listes imbriqués. L'autorisation doit tenir compte du code présent dans toute la structure soumise avant de transmettre une requête.
python poc.py --api http://127.0.0.1:4000/api.php
Le wiki de test local doit pointer son orchestrateur WikiLambda vers le service de capture en boucle locale démarré par le script. Le PoC compare le témoin rejeté avec la requête Z825 imbriquée et utilise un marqueur retourné inoffensif.