CVE-2026-103437
Metadados importados de ReadingLists permitem XSS via URL JavaScript
- Publicado
- 30 de set. de 2026
- Atualizado
- 30 de set. de 2026
- Atribuindo CNA
- wikimedia-foundation
- Evidência observada
- 3 de out. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:Y/R:U/V:D/RE:M/U:AmberBaixo · próximos 30 dias
- Percentil
- 24,0%
- Data do modelo
- 25 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Neutralização inadequada de tags HTML relacionadas a scripts em uma página web (XSS básico) na extensão ReadingLists do MediaWiki da The Wikimedia Foundation permite Reflected XSS. Este problema afeta a extensão ReadingLists do MediaWiki: 1.46 e 1.45.
Fontes
Prova de conceito local e relatório sanitizado para CVE-2026-103437, um XSS de URL canônica no MediaWiki ReadingLists acionado por meio de links de importação criados maliciosamente.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.