CVE-2026-103446：匿名 WikiLambda 片段执行

报告者：Marco Paciaroni (BomboBombone)。

abstractwiki_run_fragment API 未检查调用方提供的未保存片段所需的权限。因此，匿名请求可以将原生实现发送到已配置的 WikiLambda 评估器。该报告证实了未经授权的评估器执行，而非 MediaWiki 主机上的 RCE 或 WASM 沙箱逃逸。

概念验证

配置一个本地 WikiLambda 客户端，将调用发送到 127.0.0.1:4020，然后针对本地匿名 MediaWiki API 运行该脚本。该脚本会启动一个回环捕获服务，并检查提交的标记是否到达该服务：

python poc.py --api http://127.0.0.1:4000/api.php

API URL 必须是回环地址。仅针对本地测试环境运行此脚本。

参考资料

• CVE 记录
• 公开 Phabricator 报告
• Gerrit 上的 WikiLambda 修复
• 博客文章