bombobombone/cve-2026-103445Resumo do relatório e prova de conceito local para CVE-2026-103445, um XSS armazenado no MediaWiki PageForms #autoedit via URLs de redirecionamento javascript:.
#autoedit do PageFormsRepórter: Marco Paciaroni (BomboBombone).
O PageForms usava o parâmetro redirect como o href de um link gerado sem rejeitar esquemas executáveis. Um editor com permissão comum de edição de página podia salvar uma URL javascript: que era executada quando um visitante clicava no link.
Execute o script para imprimir o wikitexto do PoC. Salve-o numa página descartável e editável num wiki local com o PageForms ativado, e depois clique no link Trigger gerado. O marcador adiciona um atributo data ao corpo da página.
python poc.py
Use apenas um wiki de teste local.