bombobombone/cve-2026-103445Отчёт с резюме и локальный proof-of-concept для CVE-2026-103445 — хранимая XSS в MediaWiki PageForms #autoedit через javascript: URL перенаправления.
#autoeditАвтор отчёта: Marco Paciaroni (BomboBombone).
PageForms использовал параметр redirect в качестве href сгенерированной ссылки, не отклоняя исполняемые схемы. Редактор с обычными правами на редактирование страниц мог сохранить URL javascript:, который срабатывал при клике посетителя по ссылке.
Запустите скрипт, чтобы вывести викитекст PoC. Сохраните его на одноразовой редактируемой странице в локальной вики с включённым PageForms, затем нажмите на сгенерированную ссылку Trigger. Маркер добавляет атрибут data к телу страницы.
python poc.py
Используйте только локальную тестовую вики.