bombobombone/cve-2026-96874Note di proof-of-concept e verifica della patch per CVE-2026-96874, una XSS memorizzata nelle etichette delle schede Cargo Drilldown di MediaWiki renderizzate come HTML grezzo.
Segnalatore: Marco Paciaroni (BomboBombone).
Cargo memorizzava le etichette delle schede Drilldown nei metadati della pagina e le renderizzava come HTML grezzo. Un'etichetta controllata da un editor di template poteva diventare markup eseguibile quando veniva visualizzata la pagina Drilldown.
Il record CVE identifica Cargo fino alla 3.9.4 come interessato.
L'attaccante necessitava del permesso di modificare un template che dichiara Cargo. Con le query Cargo pubbliche abilitate, i visitatori della pagina Drilldown interessata potevano includere utenti anonimi e account privilegiati. L'esecuzione dello script avveniva nell'origine del wiki.
Il report originale registra una modifica del template da parte di un account ordinario e l'esecuzione nel browser durante una visita anonima. Il ripristino di un'etichetta ordinaria ha rimosso il comportamento osservato.
La modifica upstream renderizza le etichette dei link delle schede con un helper HTML che effettua l'escape del testo, invece di accettare l'etichetta come HTML grezzo.
python poc.py ExistingCargoTable Name --wiki https://wiki.example
Lo script stampa una dichiarazione Cargo contenente un marcatore DOM innocuo e il corrispondente URL Drilldown. Applicalo solo a un template di test che sei autorizzato a modificare, quindi ripristina la dichiarazione originale.