報告者: Marco Paciaroni (BomboBombone)。
CommonsMetadata は、ファイル説明から licensetpl_link の値を画像メタデータの LicenseUrl フィールドにコピーする際、その URL スキームを制限していませんでした。編集者は javascript: URL を保存できました。インターフェースがそのメタデータをリンクとしてレンダリングしたとき、それを辿った訪問者は wiki オリジンでスクリプトを実行できてしまう可能性がありました。
対になる CVE-2026-103585 は MediaSearch QuickView のコンシューマーパスを対象としています。
ローカルのテスト wiki 上で、無害なマーカーを含む使い捨てのファイル説明を使用します:
<span class="licensetpl"><span class="licensetpl_link">javascript:alert("CVE_LICENSE_URL_XSS")</span><span class="licensetpl_short">Test license</span><span class="licensetpl_long">Local test</span></span>
次に、ローカル API をクエリします:
python poc.py --api http://127.0.0.1:8080/w/api.php --title File:LicenseUrlProbe.png
このスクリプトは、API が LicenseUrl.value に実行可能なスキームを返すかどうかをチェックします。ブラウザの挙動を確認するには、ローカルの MediaSearch インターフェースでファイルを開き、そのライセンスリンクを辿ってください。このスクリプトはループバック API URL のみを許可します。