bombobombone/cve-2026-96876CVE-2026-96876 の概念実証とパッチノート。MediaWiki Cargo のエクスポートエラーメッセージにおける反射型 XSS で、エスケープされていない例外出力を検証するスクリプトを含みます。
報告者: Marco Paciaroni (BomboBombone)。
CargoExport は例外メッセージを HTML エスケープせずに出力していました。一部の例外には信頼できないフィールドエイリアスのテキストが含まれており、エラー出力が実行可能なマークアップになる可能性がありました。
CVE レコードでは、Cargo の 3.9.4 までが影響を受けると特定されています。
元の報告では、保存されたページや既存の Cargo データなしで、脆弱なエラーパスへの匿名アクセスが確認されました。細工されたリクエストを開いた被害者は、自身が持つ権限で wiki オリジン内のスクリプトを実行する可能性がありました。
元の報告では、ローカルの HTML エラー応答からのブラウザでの実行が記録されています。検証リクエストは wiki の状態を変更せず、通常の対照テストでは実行可能な要素は生成されませんでした。
上流の変更では、エクスポート応答で出力する前に例外メッセージを HTML エスケープするようになりました。
python poc.py https://wiki.example
このスクリプトは、無害な DOM マーカーを付けて影響を受けるエクスポートエラーパスにリクエストし、そのマーカーが script 要素として反射されるかどうかを報告します。