bombobombone/cve-2026-103437MediaWiki ReadingLists의 정규 URL XSS인 CVE-2026-103437에 대한 로컬 개념 증명 및 정제된 보고서로, 조작된 가져오기 링크를 통해 트리거됩니다.
보고자: Marco Paciaroni (BomboBombone).
ReadingLists는 가져온 프로젝트 URL을 받아들여 응답의 canonicalurl을 스킴 검사 없이 카드 링크로 사용했습니다. 로그인한 방문자가 조작된 가져오기 링크를 열고 카드를 클릭하면 위키 오리진에서 JavaScript를 실행할 수 있었습니다.
이 스크립트는 루프백 전용 프로젝트 API 픽스처를 시작하고 ReadingLists가 활성화된 로컬 MediaWiki 설치용 가져오기 URL을 출력합니다. 로컬 위키에 로그인한 상태에서 해당 URL을 열고 가져온 카드를 클릭하세요. 무해한 마커가 브라우저 탭 제목을 변경합니다.
python poc.py --wiki-url http://127.0.0.1:4002 --port 45813
격리된 로컬 위키에서만 사용하세요. 이 스크립트는 루프백 위키 URL만 허용합니다.