CVE-2026-103440: PageTriage द्वारा समीक्षक प्रकटीकरण को दबाया गया

रिपोर्टर: Marco Paciaroni (BomboBombone)।

सार्वजनिक pagetriagelist API ने समीक्षक का उपयोगकर्ता नाम और प्रोफ़ाइल लिंक तब भी लौटाए जब खाता दबा दिया गया था। एक अनाम कॉलर उस डेटा को प्राप्त कर सकता था यदि उस खाते के लिए PageTriage समीक्षा रिकॉर्ड मौजूद था।

प्रमाण अवधारणा

PageTriage सक्षम के साथ एक स्थानीय विकी पर, एक परीक्षण खाते के लिए एक समीक्षा रिकॉर्ड बनाएं और सामान्य मॉडरेशन वर्कफ़्लो के माध्यम से उस खाते को दबा दें। फिर बिना लॉग इन किए API को क्वेरी करें:

python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php

अनुरोध केवल-पढ़ने के लिए है। केवल एक अधिकृत स्थानीय परीक्षण इंस्टेंस का उपयोग करें; स्क्रिप्ट केवल लूपबैक API URL स्वीकार करती है।

संदर्भ

• CVE रिकॉर्ड
• सार्वजनिक Phabricator रिपोर्ट
• Gerrit पर PageTriage फिक्स
• ब्लॉग लेख