bombobombone/cve-2026-96874Notas de prova de conceito e verificação de patch para CVE-2026-96874, um XSS armazenado no MediaWiki Cargo Drilldown em rótulos de abas renderizados como HTML bruto.
Relator: Marco Paciaroni (BomboBombone).
O Cargo armazenava rótulos de abas do Drilldown nos metadados da página e os renderizava como HTML bruto. Um rótulo controlado por um editor de predefinições poderia se tornar marcação executável quando a página do Drilldown fosse visualizada.
O registro da CVE identifica o Cargo até a versão 3.9.4 como afetado.
O atacante precisava de permissão para editar uma predefinição que declara Cargo. Com as consultas públicas do Cargo habilitadas, os visitantes da página do Drilldown afetada podiam incluir usuários anônimos e contas privilegiadas. A execução de script ocorria na origem da wiki.
O relatório original registra uma edição de predefinição por uma conta comum e a execução no navegador durante uma visita anônima. A restauração de um rótulo comum removeu o comportamento observado.
A alteração upstream renderiza os rótulos dos links das abas com um helper HTML de escape de texto, em vez de aceitar o rótulo como HTML bruto.
python poc.py ExistingCargoTable Name --wiki https://wiki.example
O script imprime uma declaração Cargo contendo um marcador DOM inofensivo e a URL correspondente do Drilldown. Aplique-o apenas a uma predefinição de teste que você está autorizado a editar e, em seguida, restaure a declaração original.