bombobombone/cve-2026-103440Resumo do relatório e script de prova de conceito local demonstrando o CVE-2026-103440, uma divulgação da API PageTriage de nomes de usuário de revisores suprimidos no MediaWiki.
Relator: Marco Paciaroni (BomboBombone).
A API pública pagetriagelist retornava o nome de usuário e os links de perfil de um revisor mesmo quando a conta estava suprimida. Um chamador anônimo podia recuperar os dados se existisse um registro de revisão do PageTriage para essa conta.
Em um wiki local com o PageTriage habilitado, crie um registro de revisão para uma conta de teste e suprima essa conta através do fluxo normal de moderação. Em seguida, consulte a API sem fazer login:
python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php
A requisição é somente leitura. Use apenas uma instância de teste local autorizada; o script aceita apenas URLs de API em loopback.