bombobombone/cve-2026-96872Report e proof-of-concept per CVE-2026-96872, un bypass di autorizzazione del codice non salvato in WikiLambda, con note di validazione e riferimenti alla patch upstream.
Segnalatore: Marco Paciaroni (BomboBombone).
WikiLambda non applicava le proprie regole di autorizzazione per il codice non salvato a tutti i dati delle funzioni annidate. Un chiamante anonimo poteva far superare a codice sorgente non approvato il confine dei permessi e raggiungere il valutatore di funzioni configurato.
Il record CVE identifica come interessate le versioni di WikiLambda precedenti alla 1.47.0.
Il problema richiede WikiLambda e un orchestratore/valutatore di funzioni configurato. Aggira il permesso che disciplina l'invio di codice non salvato. Il valutatore utilizza l'isolamento WASM; la scoperta non dimostra l'esecuzione sull'host MediaWiki né un'evasione dalla sandbox.
Il report originale documenta un confronto locale controllato tramite un servizio di cattura. Una richiesta che avrebbe dovuto essere rifiutata è stata inoltrata oltre il confine di autorizzazione. Ciò ha stabilito l'invio non autorizzato di codice; il servizio di cattura non ha eseguito comandi sull'host.
La modifica upstream fa sì che il rilevamento del codice non salvato ispezioni oggetti e liste annidati. L'autorizzazione deve tenere conto del codice presente in tutta la struttura inviata prima di inoltrare una richiesta.
python poc.py --api http://127.0.0.1:4000/api.php
Il wiki di test locale deve puntare il proprio orchestratore WikiLambda al servizio di cattura su loopback avviato dallo script. Il PoC confronta il controllo rifiutato con la richiesta Z825 annidata e utilizza un marcatore restituito innocuo.