CVE-2026-103440：PageTriage 泄露被隐藏的审核者信息

报告者：Marco Paciaroni（BomboBombone）。

公开的 pagetriagelist API 即使账号已被隐藏，仍会返回审核者的用户名和个人资料链接。只要该账号存在 PageTriage 审核记录，匿名调用者即可获取这些数据。

概念验证

在启用了 PageTriage 的本地 wiki 上，为一个测试账号创建审核记录，并通过正常的审核流程隐藏该账号。然后在未登录的情况下查询 API：

python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php

该请求为只读操作。请仅使用经授权的本地测试实例；该脚本仅接受回环 API URL。

报告者：Marco Paciaroni（BomboBombone）。

在启用了 PageTriage 的本地 wiki 上，为一个测试账号创建审核记录，并通过正常的审核流程隐藏该账号。然后在未登录的情况下查询 API：

python poc.py --page-id <PAGE_ID> --api-url http://127.0.0.1/w/api.php

该请求为只读操作。请仅使用经授权的本地测试实例；该脚本仅接受回环 API URL。