bombobombone/cve-2026-100380CVE-2026-100380 के लिए PoC और पैच सत्यापन नोट्स, जो Wikibase भाषा-सत्यापन त्रुटि पृष्ठों में एक reflected XSS है, साथ में एक स्क्रिप्ट जो unescaped HTML आउटपुट का पता लगाती है।
रिपोर्टर: Marco Paciaroni (BomboBombone)।
Wikibase ने SetLabel पृष्ठ में unescaped language-validation त्रुटि पाठ को शामिल किया था। अस्वीकृत इनपुट को निष्पादन योग्य HTML के रूप में लौटाया जा सकता था, इससे पहले कि अनुरोध label-saving ऑपरेशन तक पहुँचता।
CVE रिकॉर्ड 1.46.1, 1.45.5, और 1.43.10 में fixes से पहले के प्रभावित Wikibase रिलीज़ शाखाओं की पहचान करता है। संबंधित MediaWiki रिलीज़ शाखा के लिए fixed extension कोड का उपयोग करें।
संग्रहीत validation एक unauthenticated अनुरोध और wiki origin में browser निष्पादन को रिकॉर्ड करता है। कोई label save तक नहीं पहुँचा। किसी write को अस्वीकार करना उस error पृष्ठ की रक्षा नहीं करता जो अविश्वसनीय इनपुट को HTML के रूप में प्रस्तुत करता है।
संग्रहीत केस साक्ष्य एक सफल स्थानीय HTTP प्रतिक्रिया और एक हानिरहित marker के browser निष्पादन को रिकॉर्ड करता है। यह अलग से रिकॉर्ड करता है कि कोई label save नहीं हुआ। यह सार्वजनिक सारांश उन validation रिकॉर्डों और संबंधित शोध नोट्स पर आधारित है।
upstream परिवर्तन term-editing और संबंधित special pages में error संदेशों को प्रस्तुत करने से पहले HTML-escapes करता है।
python poc.py https://wiki.example --entity Q1
स्क्रिप्ट एक अमान्य language मान पोस्ट करती है जिसमें एक हानिरहित marker होता है और जाँचती है कि प्रतिक्रिया उसे raw script element के रूप में लौटाती है या नहीं। प्रभावित पथ label सहेजने से पहले अनुरोध को अस्वीकार कर देता है।