CVE-2026-103440: PageTriage によるレビュアー情報の開示抑制

報告者: Marco Paciaroni (BomboBombone)

公開 API pagetriagelist は、アカウントが抑制されていた場合でも、レビュアーのユーザー名とプロフィールリンクを返していました。匿名の呼び出し元は、そのアカウントに対する PageTriage のレビュー記録が存在する場合、データを取得できました。

概念実証

PageTriage が有効なローカル wiki で、テストアカウントのレビュー記録を作成し、通常のモデレーションワークフローを通じてそのアカウントを抑制します。その後、ログインせずに API をクエリします:

python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php

このリクエストは読み取り専用です。認可されたローカルのテストインスタンスのみを使用してください。スクリプトはループバック API URL のみを受け付けます。