bombobombone/cve-2026-100381CVE-2026-100381のレポートとPoC。MediaWiki UploadWizardのFlickrコレクションおよびセットタイトルにおけるDOM XSSで、パッチ検証ノートとローカルテストハーネスを含む。
報告者: Marco Paciaroni (BomboBombone)。
UploadWizard は Flickr のコレクションおよびセットのタイトルを、文字列を HTML として解釈する API を通じて挿入していました。そのため、外部のタイトルメタデータがウィキページ内で実行可能なマークアップになり得ました。
CVE レコードは、1.46.1、1.45.5、および 1.43.10 での修正前の、影響を受ける UploadWizard リリースブランチを特定しています。対応する MediaWiki リリースブランチには、修正済みの拡張機能コードを使用してください。
Flickr インポートが有効化されており、被害者がそのワークフローを利用することを許可されている必要がありました。攻撃者は外部のコレクションメタデータを制御できる必要がありました。この知見は、Flickr インポートが無効化されているデプロイメントにおける露出を立証するものではありません。
元の報告書は、制御された Flickr 互換サービスを使用したローカルインスタンスにおいて、コレクションとセットの両方のタイトルでブラウザ実行が行われたことを記録しています。検証ではアップロードは送信されませんでした。
上流の変更では、コレクションおよびセットのタイトルをテキストとして挿入し、タイトルメタデータを HTML として解析することなく、周囲のリストおよびリンク構造を保持します。
python -m pip install websocket-client
python poc.py --wiki http://127.0.0.1:4004 --username TestUser
ローカルのテストウィキでは、UploadWizard の Flickr 統合が、スクリプトによって起動されるループバックフィクスチャを指している必要があります。PoC はプロセスリストにパスワードを露出させることなくパスワードを要求し、ローカルのヘッドレスブラウザで実際のワークフローを開き、アップロードを送信することなく無害なコレクションおよびセットのマーカーを確認します。