bombobombone/cve-2026-100381Report e PoC per CVE-2026-100381, un DOM XSS nei titoli delle collezioni e dei set di MediaWiki UploadWizard Flickr, con note di verifica della patch e un harness di test locale.
Segnalatore: Marco Paciaroni (BomboBombone).
UploadWizard inseriva i titoli delle collezioni e dei set di Flickr tramite un'API che interpretava le stringhe come HTML. I metadati esterni dei titoli potevano quindi diventare markup eseguibile nella pagina wiki.
Il record CVE identifica i rami di rilascio di UploadWizard interessati prima delle correzioni in 1.46.1, 1.45.5 e 1.43.10. Utilizzare il codice dell'estensione corretto per il ramo di rilascio MediaWiki corrispondente.
L'importazione da Flickr doveva essere abilitata e la vittima doveva essere autorizzata a utilizzare quel flusso di lavoro. L'attaccante doveva avere il controllo dei metadati esterni della collezione. Il risultato non stabilisce l'esposizione in distribuzioni in cui l'importazione da Flickr è disabilitata.
Il report originale documenta l'esecuzione nel browser sia per i titoli delle collezioni che per quelli dei set in un'istanza locale utilizzando un servizio controllato compatibile con Flickr. La validazione non ha inviato un caricamento.
La modifica upstream inserisce i titoli delle collezioni e dei set come testo, preservando la struttura circostante della lista e dei link senza analizzare i metadati dei titoli come HTML.
python -m pip install websocket-client
python poc.py --wiki http://127.0.0.1:4004 --username TestUser
Il wiki di test locale deve avere l'integrazione Flickr di UploadWizard puntata al fixture di loopback avviato dallo script. Il PoC richiede la password senza esporla nella lista dei processi, apre il flusso di lavoro reale in un browser headless locale e verifica marcatori innocui di collezioni e set senza inviare un caricamento.