bombobombone/cve-2026-103584Report sanitizzato e script PoC solo loopback per CVE-2026-103584, un XSS tramite schema URL javascript: nel rendering di LicenseUrl di MediaWiki CommonsMetadata.
Segnalatore: Marco Paciaroni (BomboBombone).
CommonsMetadata copiava il valore licensetpl_link da una descrizione di file nel campo LicenseUrl dei metadati dell'immagine senza limitarne lo schema URL. Un editor poteva memorizzare un URL javascript:. Quando un'interfaccia renderizzava quei metadati come link, un visitatore che lo seguiva poteva eseguire script nell'origine del wiki.
La CVE-2026-103585 associata copre il percorso del consumer MediaSearch QuickView.
Usa una descrizione di file usa e getta su un wiki di test locale con un marcatore innocuo:
<span class="licensetpl"><span class="licensetpl_link">javascript:alert("CVE_LICENSE_URL_XSS")</span><span class="licensetpl_short">Test license</span><span class="licensetpl_long">Local test</span></span>
Poi interroga l'API locale:
python poc.py --api http://127.0.0.1:8080/w/api.php --title File:LicenseUrlProbe.png
Lo script verifica se l'API restituisce lo schema eseguibile in LicenseUrl.value. Per osservare il comportamento del browser, apri il file nell'interfaccia MediaSearch locale e segui il suo link di licenza. Lo script consente solo URL API di loopback.