bombobombone/cve-2026-96877Notes de vérification de preuve de concept et de correctif pour CVE-2026-96877, une XSS réfléchie dans les fils d'Ariane de la recherche plein texte de Cargo Drilldown, avec un script de détection Python.
Rapporteur : Marco Paciaroni (BomboBombone).
Cargo affichait un terme de recherche plein texte dans son fil d'Ariane Drilldown sans échappement HTML. La saisie de recherche pouvait donc devenir du balisage exécutable dans la page de résultats.
L'enregistrement CVE identifie Cargo jusqu'à la version 3.9.4 comme affecté.
Le problème dépendait de l'indexation plein texte des pages activée et d'une table interrogeable publiquement dont les résultats atteignaient l'affichage concerné. Un attaquant anonyme pouvait préparer une requête qui exécutait du script lorsqu'une victime l'ouvrait.
Le rapport original consigne une exécution locale dans le navigateur depuis le fil d'Ariane et un contrôle ordinaire qui s'affichait sans élément exécutable.
La modification en amont échappe le terme de recherche plein texte affiché avant de l'ajouter au fil d'Ariane.
python poc.py https://wiki.example TABLE SEARCH_TERM
La table doit utiliser l'indexation plein texte des pages de Cargo, et le terme fourni doit correspondre au texte de la page. Le script indique si le fil d'Ariane contient le marqueur inoffensif non échappé.