bombobombone/cve-2026-96875Relatório e script de prova de conceito para CVE-2026-96875, um XSS refletido nos filtros de hierarquia do MediaWiki Cargo Drilldown, com notas de validação e referências à correção upstream.
Repórter: Marco Paciaroni (BomboBombone).
O Cargo não preservou o escaping ao formatar um valor de filtro de hierarquia para o breadcrumb do Drilldown. Os dados da requisição podiam ser interpretados como HTML na página resultante.
O registro da CVE identifica o Cargo até a versão 3.9.4 como afetado.
O cenário relatado exigia uma tabela pública do Cargo com um campo de hierarquia. Um atacante anônimo podia preparar uma requisição para uma vítima abrir, resultando na execução de script na origem do wiki.
O relatório original registra execução no navegador a partir da exibição do filtro refletido em uma instância local do MediaWiki. Um valor de filtro comum era renderizado como texto.
A alteração upstream remove a decodificação de entidades da saída formatada do filtro e ajusta o tratamento de mensagens para preservar o limite de texto pretendido.
python poc.py https://wiki.example TABLE FIELD
O script envia a requisição de filtro de hierarquia com um marcador DOM inofensivo e informa se a resposta contém um elemento de imagem sem escaping.
A descrição pública da CVE atualmente rotula este problema como XSS armazenado. O relatório submetido descreve um valor de requisição refletido na resposta. Este relatório descreve esse comportamento observado sem alterar o registro da CVE.