bombobombone/cve-2026-96872Relatório e prova de conceito para CVE-2026-96872, uma burla de autorização de código não guardado no WikiLambda, com notas de validação e referências ao patch upstream.
Repórter: Marco Paciaroni (BomboBombone).
O WikiLambda não aplicou suas regras de autorização de código não salvo em todos os dados de funções aninhadas. Um chamador anônimo poderia fazer com que código-fonte não aprovado cruzasse o limite de permissão e chegasse ao avaliador de funções configurado.
O registro CVE identifica as versões do WikiLambda anteriores à 1.47.0 como afetadas.
O problema exige o WikiLambda e um orquestrador/avaliador de funções configurado. Ele contorna a permissão que rege o envio de código não salvo. O avaliador usa isolamento WASM; a descoberta não estabelece execução no host do MediaWiki nem uma fuga do sandbox.
O relatório original registra uma comparação local controlada usando um serviço de captura. Uma requisição que deveria ter sido rejeitada foi encaminhada através do limite de autorização. Isso estabeleceu o envio não autorizado de código; o serviço de captura não executou comandos no host.
A alteração upstream faz com que a detecção de código não salvo inspecione objetos e listas aninhados. A autorização deve considerar o código em toda a estrutura enviada antes de encaminhar uma requisição.
python poc.py --api http://127.0.0.1:4000/api.php
O wiki de teste local deve apontar seu orquestrador WikiLambda para o serviço de captura em loopback iniciado pelo script. O PoC compara o controle rejeitado com a requisição Z825 aninhada e usa um marcador retornado inofensivo.