bombobombone/cve-2026-100380CVE-2026-100380에 대한 PoC 및 패치 검증 노트로, Wikibase 언어 검증 오류 페이지의 반사형 XSS이며, 이스케이프되지 않은 HTML 출력을 탐지하는 스크립트를 포함합니다.
보고자: Marco Paciaroni (BomboBombone).
Wikibase는 SetLabel 페이지에 이스케이프되지 않은 language-validation 오류 텍스트를 포함했습니다. 거부된 입력은 요청이 label 저장 작업에 도달하기 전에 실행 가능한 HTML로 반환될 수 있었습니다.
CVE 레코드는 1.46.1, 1.45.5, 1.43.10의 수정 이전에 영향을 받는 Wikibase 릴리스 브랜치를 식별합니다. 해당 MediaWiki 릴리스 브랜치에 맞는 수정된 확장 코드를 사용하십시오.
보관된 검증은 인증되지 않은 요청과 위키 오리진에서의 브라우저 실행을 기록합니다. label 저장에는 도달하지 않았습니다. 쓰기 거부는 신뢰할 수 없는 입력을 HTML로 렌더링하는 오류 페이지를 보호하지 못합니다.
보관된 사례 증거는 성공적인 로컬 HTTP 응답과 무해한 마커의 브라우저 실행을 기록합니다. 또한 label 저장이 발생하지 않았음을 별도로 기록합니다. 이 공개 요약은 해당 검증 기록과 관련 연구 노트를 기반으로 합니다.
업스트림 변경은 term-editing 및 관련 특수 페이지의 오류 메시지를 렌더링하기 전에 HTML 이스케이프 처리합니다.
python poc.py https://wiki.example --entity Q1
이 스크립트는 무해한 마커를 포함하는 잘못된 language 값을 전송하고 응답이 이를 원시 script 요소로 반환하는지 확인합니다. 영향을 받는 경로는 label을 저장하기 전에 요청을 거부합니다.