CVE-2026-100382
ExternalData में विकिटेक्स्ट के माध्यम से अनधिकृत रिमोट कोड निष्पादन
- प्रकाशित
- 25 सित॰ 2026
- अद्यतन
- 26 सित॰ 2026
- सीएनए असाइन करना
- wikimedia-foundation
- साक्ष्य देखे गए
- 3 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 68.3%
- मॉडल दिनांक
- 25 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
विकिमीडिया फाउंडेशन मीडियाविकि - ExternalData एक्सटेंशन में OS कमांड में प्रयुक्त विशेष तत्वों का अनुचित निष्क्रियकरण ('OS कमांड इंजेक्शन') भेद्यता OS कमांड इंजेक्शन की अनुमति देती है। यह समस्या मीडियाविकि - ExternalData एक्सटेंशन को प्रभावित करती है: * से 3.7 से पहले तक।
स्रोत
Docker लैब जो CVE-2026-100382 को पुनः उत्पन्न करती है: MediaWiki ExternalData के #get_program_data में अनधिकृत argument-injection RCE, PoC payloads और patch verification के साथ।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।