bombobombone/cve-2026-96875Rapport et script de preuve de concept pour CVE-2026-96875, une XSS réfléchie dans les filtres de hiérarchie de MediaWiki Cargo Drilldown, avec des notes de validation et des références au correctif en amont.
Rapporteur : Marco Paciaroni (BomboBombone).
Cargo ne préservait pas l'échappement lors du formatage d'une valeur de filtre de hiérarchie pour le fil d'Ariane de Drilldown. Les données de la requête pouvaient être interprétées comme du HTML dans la page résultante.
L'enregistrement CVE identifie Cargo jusqu'à la version 3.9.4 comme affecté.
Le scénario signalé nécessitait une table Cargo publique avec un champ de hiérarchie. Un attaquant anonyme pouvait préparer une requête destinée à être ouverte par une victime, entraînant l'exécution de scripts dans l'origine du wiki.
Le rapport original consigne une exécution dans le navigateur à partir de l'affichage du filtre reflété sur une instance MediaWiki locale. Une valeur de filtre ordinaire s'affichait sous forme de texte.
La modification en amont supprime le décodage des entités de la sortie de filtre formatée et ajuste la gestion des messages afin de préserver la limite de texte prévue.
python poc.py https://wiki.example TABLE FIELD
Le script envoie la requête de filtre de hiérarchie avec un marqueur DOM inoffensif et indique si la réponse contient un élément image non échappé.
La description publique de la CVE qualifie actuellement ce problème de XSS stocké. Le rapport soumis décrit une valeur de requête reflétée dans la réponse. Ce rapport décrit ce comportement observé sans modifier l'enregistrement CVE.