bombobombone/cve-2026-100380Note di verifica PoC e patch per CVE-2026-100380, un XSS riflesso nelle pagine di errore di convalida della lingua di Wikibase, con uno script che rileva output HTML non sottoposto a escape.
Segnalatore: Marco Paciaroni (BomboBombone).
Wikibase includeva il testo dell'errore di convalida della lingua non sottoposto a escape nella pagina SetLabel. L'input rifiutato poteva essere restituito come HTML eseguibile prima che la richiesta raggiungesse l'operazione di salvataggio dell'etichetta.
Il record CVE identifica i rami di rilascio di Wikibase interessati prima delle correzioni in 1.46.1, 1.45.5 e 1.43.10. Utilizzare il codice dell'estensione corretto per il ramo di rilascio di MediaWiki corrispondente.
La convalida archiviata registra una richiesta non autenticata e l'esecuzione nel browser nell'origine del wiki. Non è stato raggiunto alcun salvataggio dell'etichetta. Rifiutare una scrittura non protegge una pagina di errore che renderizza input non attendibile come HTML.
Le prove del caso archiviate registrano una risposta HTTP locale riuscita e l'esecuzione nel browser di un marker innocuo. Registrano separatamente che non è avvenuto alcun salvataggio dell'etichetta. Questo riepilogo pubblico si basa su tali registrazioni di convalida e sulle note di ricerca associate.
La modifica upstream applica l'escape HTML ai messaggi di errore nelle pagine di modifica dei termini e nelle relative pagine speciali prima di renderizzarli.
python poc.py https://wiki.example --entity Q1
Lo script invia un valore di lingua non valido contenente un marker innocuo e verifica se la risposta lo restituisce come elemento script grezzo. Il percorso interessato rifiuta la richiesta prima di salvare un'etichetta.