bombobombone/cve-2026-103442MediaWiki CentralAuth의 merge-session 처리에서 발생하는 PHP 객체 주입 취약점인 CVE-2026-103442에 대한 로컬 개념 증명 및 정제된 보고서로, 원격 코드 실행으로 이어질 수 있습니다.
보고자: Marco Paciaroni (BomboBombone).
CentralAuth는 마이그레이션 상태를 디코딩할 때 브라우저가 제공한 merge-session 키를 허용했습니다. centralauth-merge 권한을 가진 사용자는 PHP 객체 그래프를 생성하는 키로 대체할 수 있었습니다. 보고서의 Guzzle FileCookieJar 체인은 객체에 의해 선택된 파일을 작성합니다. 영향을 받는 런타임에서 사용 가능한 가젯 체인은 이 객체 주입을 원격 코드 실행으로 확장할 수 있습니다.
CentralAuth와 merge 권한이 있는 테스트 계정이 있는 로컬 MediaWiki 설치를 사용하십시오. 아직 존재하지 않고 로컬 PHP 프로세스가 쓸 수 있는 고유한 마커 경로를 선택하십시오:
python poc.py --base-url http://127.0.0.1:4016 --username TestMergeUser --password '<test-password>' --marker /tmp/cve-2026-103442-canary.txt
이 스크립트는 루프백 기본 URL만 허용합니다. 테스트 중에 마커 파일을 생성하고 제거합니다.