CVE-2026-103584

低公開済み

攻撃者が制御するJavaScriptライセンスURLによるXSS

公開済み: 2026/09/30
更新済み: 2026/10/01
CNA の割り当て: wikimedia-foundation
観察された証拠: 2026/10/03

プライマリ CVSS

1.1/ 10低

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:P/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:Y/R:U/V:C/RE:M/U:Amber

概要

Webページにおけるスクリプト関連HTMLタグの不適切な中和（基本的なXSS）脆弱性により、The Wikimedia Foundation MediaWiki CommonsMetadata拡張機能でクロスサイトスクリプティング（XSS）が可能になります。この問題はMediaWiki CommonsMetadata拡張機能のバージョン1.46、1.45、および1.43に影響します。

ソース

CVE-2026-103584PoC
CVE-2026-103584（MediaWiki CommonsMetadata の LicenseUrl レンダリングにおける javascript: URL スキーム XSS）向けの、サニタイズ済みレポートと loopback 限定の PoC スクリプト。
CVE-2026-103585PoC
MediaSearch QuickView における javascript: ライセンス URL を介した格納型 XSS を実証する、サニタイズ済みレポートおよび loopback 限定の PoC スクリプト（CVE-2026-103585）。

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。