bombobombone/cve-2026-96872Отчёт и proof-of-concept для CVE-2026-96872 — обход авторизации при работе с несохранённым кодом в WikiLambda, с примечаниями по валидации и ссылками на вышестоящие патчи.
Автор отчёта: Marco Paciaroni (BomboBombone).
WikiLambda не применяла свои правила авторизации для несохранённого кода ко вложенным данным функций. Анонимный вызывающий мог заставить неутверждённый исходный код пересечь границу разрешений и достичь настроенного вычислителя функций.
В записи CVE как затронутые указаны версии WikiLambda до 1.47.0.
Проблема требует наличия WikiLambda и настроенного оркестратора/вычислителя функций. Она обходит разрешение, регулирующее отправку несохранённого кода. Вычислитель использует изоляцию WASM; находка не устанавливает выполнения на хосте MediaWiki или выхода из песочницы.
Исходный отчёт фиксирует контролируемое локальное сравнение с использованием сервиса перехвата. Запрос, который должен был быть отклонён, был передан через границу авторизации. Это установило несанкционированную отправку кода; сервис перехвата не выполнял команды хоста.
Изменение в upstream заставляет обнаружение несохранённого кода проверять вложенные объекты и списки. Авторизация должна учитывать код по всей отправляемой структуре перед передачей запроса.
python poc.py --api http://127.0.0.1:4000/api.php
Локальная тестовая вики должна направить свой оркестратор WikiLambda на сервис перехвата на loopback-интерфейсе, запускаемый скриптом. PoC сравнивает отклонённый контрольный запрос с вложенным запросом Z825 и использует безвредный возвращаемый маркер.