bombobombone/cve-2026-96876Prova de conceito e notas de patch para CVE-2026-96876, um XSS refletido nas mensagens de erro de exportação do MediaWiki Cargo, com um script para verificar a saída de exceção não escapada.
Repórter: Marco Paciaroni (BomboBombone).
O CargoExport emitia mensagens de exceção sem escape de HTML. Algumas exceções incluíam texto não confiável de alias de campo, permitindo que a saída de erro se tornasse marcação executável.
O registro da CVE identifica o Cargo até a versão 3.9.4 como afetado.
O relatório original estabeleceu acesso anônimo ao caminho de erro vulnerável sem uma página salva ou dados existentes do Cargo. Uma vítima que abrisse uma requisição especialmente criada poderia executar script na origem do wiki com as permissões disponíveis.
O relatório original registra execução no navegador a partir da resposta de erro HTML local. A requisição de validação não modificou o estado do wiki, e um controle comum não criou um elemento executável.
A alteração upstream aplica escape de HTML às mensagens de exceção antes de imprimi-las na resposta de exportação.
python poc.py https://wiki.example
O script requisita o caminho de erro de exportação afetado com um marcador DOM inofensivo e informa se o marcador é refletido como um elemento de script.