bombobombone/cve-2026-103441针对 CVE-2026-103441 的本地概念验证与脱敏报告，该漏洞是 MediaWiki action=parse API 中的 PHP 对象注入缺陷，可通过 gadget 链实现 RCE。
报告者：Marco Paciaroni（BomboBombone）。
公开的 action=parse API 接受 PHP 序列化的 Wikibase 实体。不受限制的对象构造可触达一个 Smarty 析构函数，该析构函数会删除调用者指定的路径。在受影响的 Wikimedia 部署中，可用的 PHP gadget 链可将此对象注入路径扩展为远程代码执行。
该脚本在临时目录中创建一个一次性金丝雀文件，将序列化实体发送到本地 MediaWiki API，并检查 PHP 进程是否删除了该金丝雀文件。它仅使用回环 API URL，并清理临时目录。
python poc.py --api-url http://127.0.0.1:4000/api.php
仅在启用了 Wikibase Repository 和 Widgets 的隔离本地安装环境中运行。