bombobombone/cve-2026-103440MediaWiki에서 억제된 검토자 사용자 이름이 PageTriage API를 통해 공개되는 취약점인 CVE-2026-103440을 시연하는 보고서 요약 및 로컬 개념 증명 스크립트입니다.
보고자: Marco Paciaroni (BomboBombone).
공개 pagetriagelist API는 계정이 숨겨진 경우에도 검토자의 사용자 이름과 프로필 링크를 반환했습니다. 익명 호출자는 해당 계정에 대한 PageTriage 검토 기록이 존재할 경우 데이터를 조회할 수 있었습니다.
PageTriage가 활성화된 로컬 위키에서 테스트 계정에 대한 검토 기록을 생성하고, 일반적인 검토 워크플로를 통해 해당 계정을 숨깁니다. 그런 다음 로그인하지 않고 API를 쿼리합니다:
python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php
이 요청은 읽기 전용입니다. 승인된 로컬 테스트 인스턴스에서만 사용하십시오. 스크립트는 루프백 API URL만 허용합니다.