bombobombone/cve-2026-96876Proof-of-concept e note di patch per CVE-2026-96876, una XSS riflessa nei messaggi di errore dell'esportazione di MediaWiki Cargo, con uno script per verificare l'output delle eccezioni non sottoposto a escape.
Segnalatore: Marco Paciaroni (BomboBombone).
CargoExport emetteva messaggi di eccezione senza effettuare l'escape HTML. Alcune eccezioni includevano testo non attendibile proveniente dagli alias dei campi, consentendo all'output di errore di diventare markup eseguibile.
Il record CVE identifica Cargo fino alla versione 3.9.4 come interessata.
Il report originale ha stabilito l'accesso anonimo al percorso di errore vulnerabile senza una pagina salvata o dati Cargo esistenti. Una vittima che apre una richiesta appositamente costruita potrebbe eseguire script nell'origine del wiki con i permessi a sua disposizione.
Il report originale documenta l'esecuzione nel browser a partire dalla risposta di errore HTML locale. La richiesta di validazione non ha modificato lo stato del wiki, e un controllo ordinario non ha creato un elemento eseguibile.
La modifica upstream applica l'escape HTML ai messaggi di eccezione prima di stamparli nella risposta di esportazione.
python poc.py https://wiki.example
Lo script richiede il percorso di errore dell'esportazione interessato con un marcatore DOM innocuo e segnala se il marcatore viene riflesso come elemento script.