CVE-2026-103442
MergeAccount PHP ऑब्जेक्ट इंजेक्शन session-key प्रतिस्थापन के माध्यम से
- प्रकाशित
- 30 सित॰ 2026
- अद्यतन
- 30 सित॰ 2026
- सीएनए असाइन करना
- wikimedia-foundation
- साक्ष्य देखे गए
- 3 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:Y/R:U/V:D/RE:M/U:Amberकम · अगले 30 दिन
- प्रतिशत
- 20.2%
- मॉडल दिनांक
- 25 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
The Wikimedia Foundation MediaWiki CentralAuth एक्सटेंशन में सिस्टम या कॉन्फ़िगरेशन सेटिंग का बाहरी नियंत्रण भेद्यता Code Injection की अनुमति देती है। यह समस्या MediaWiki CentralAuth एक्सटेंशन को प्रभावित करती है: 1.46, 1.45, और 1.43।
स्रोत
CVE-2026-103442 के लिए स्थानीय proof-of-concept और sanitized रिपोर्ट, MediaWiki CentralAuth की merge-session handling में एक PHP object injection जो remote code execution तक ले जा सकता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।