bombobombone/cve-2026-96874Notes de preuve de concept et de vérification du correctif pour CVE-2026-96874, une XSS stockée dans les libellés d'onglets de MediaWiki Cargo Drilldown rendus en HTML brut.
Rapporteur : Marco Paciaroni (BomboBombone).
Cargo stockait les libellés des onglets Drilldown dans les métadonnées de page et les rendait en HTML brut. Un libellé contrôlé par un éditeur de modèle pouvait devenir un balisage exécutable lors de la consultation de la page Drilldown.
L'enregistrement CVE identifie Cargo jusqu'à la version 3.9.4 comme affecté.
L'attaquant devait disposer de la permission de modifier un modèle déclarant Cargo. Avec les requêtes Cargo publiques activées, les visiteurs de la page Drilldown affectée pouvaient inclure des utilisateurs anonymes et des comptes privilégiés. L'exécution du script se produisait dans l'origine du wiki.
Le rapport original consigne une modification de modèle par un compte ordinaire et une exécution dans le navigateur lors d'une visite anonyme. La restauration d'un libellé ordinaire a supprimé le comportement observé.
La modification en amont rend les libellés des liens d'onglet avec un helper HTML d'échappement de texte au lieu d'accepter le libellé comme HTML brut.
python poc.py ExistingCargoTable Name --wiki https://wiki.example
Le script affiche une déclaration Cargo contenant un marqueur DOM inoffensif et l'URL Drilldown correspondante. Appliquez-le uniquement à un modèle de test que vous êtes autorisé à modifier, puis restaurez la déclaration d'origine.