bombobombone/cve-2026-103440Riepilogo del report e script proof-of-concept locale che dimostra CVE-2026-103440, una divulgazione tramite l'API PageTriage dei nomi utente dei revisori soppressi su MediaWiki.
Segnalatore: Marco Paciaroni (BomboBombone).
L'API pubblica pagetriagelist restituiva il nome utente e i link al profilo di un revisore anche quando l'account era soppresso. Un chiamante anonimo poteva recuperare i dati se esisteva un record di revisione PageTriage per quell'account.
Su un wiki locale con PageTriage abilitato, crea un record di revisione per un account di test e sopprimi quell'account tramite il normale flusso di moderazione. Poi interroga l'API senza effettuare l'accesso:
python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php
La richiesta è di sola lettura. Usa solo un'istanza di test locale autorizzata; lo script accetta esclusivamente URL API di loopback.