CVE-2026-103051 MediaWiki CentralNotice 存储型 XSS 漏洞
影响攻击者可注入恶意脚本，在他人浏览器中执行
MediaWiki 的 CentralNotice 扩展在生成网页时未正确中和用户输入，导致存储型跨站脚本（XSS）漏洞。攻击者可将恶意脚本持久化存储于页面中，其他用户访问时脚本自动执行。该漏洞编号为 CVE-2026-103051，评级为 MEDIUM（CVSS 6.1）。
影响范围
受影响组件为 MediaWiki 的 CentralNotice 扩展，受影响版本为 1.46.1、1.45.5、1.43.10 之前的版本。
漏洞详情
该漏洞属于存储型 XSS，成因是 CentralNotice 扩展在网页生成过程中未对用户可控输入进行恰当的中和/转义。攻击者可将恶意脚本内容提交并存储到服务端，当其他用户浏览相关页面时，脚本在其浏览器上下文中执行。
利用条件与风险
利用通常需要攻击者具备向 CentralNotice 相关功能提交内容的能力，且受害者需访问被注入的页面。成功利用可窃取会话、冒充用户操作或进行钓鱼，实战风险中等。
修复建议
建议升级 CentralNotice 扩展至 1.46.1、1.45.5、1.43.10 或更高版本。临时缓解措施暂无公开信息。
Improper neutralization of input during web page generation (‘cross-site scripting’) vulnerability in The Wikimedia Foundation Mediawiki – CentralNotice extension allows Stored XSS.
This issue affects Mediawiki – CentralNotice extension: before 1.46.1, 1.45.5, 1.43.10.