关键信息 漏洞标题 CVE-2026-22710: Stored XSS through autocomment system messages in Wikibase 漏洞状态 Closed, Resolved Public SECURITY 分配给 SomeRandomDeveloper 标签 Security-Team (Watching) Security Affects-Miraheze (Backlog) MediaWiki-extensions-Wikibase-Repo (Backlog) Wikidata (Incoming) Vuln-XSS SecTeam-Processed (Completed) Wikidata-Omega (Radar/Epics/Stalled) (Incoming) Patch-For-Review 影响的软件版本 MediaWiki: 1.46.0-alpha WikibaseRepository: 86238a 漏洞描述 Wikibase通过FormatAutocomments钩子将解析后的系统消息插入到autocomments中，允许XSS。 由于T182800问题的修复，非特权用户无法再利用该漏洞，但之前可能存在利用可能。 还原步骤 1. 启用WikibaseRepository。 2. 编辑MediaWiki:Wikibase-entity-summary-wbsetdescription-set并设置其内容。 3. 编辑项目的描述。 4. 转到项目的修订历史。 解释 通过在作为参数传递给CommentParser::doWikiLinks的元素的属性中包含wiki链接语法，可以插入任意HTML属性，导致XSS漏洞。 附加信息 该漏洞可能影响多个版本分支。 WizardiaLexemic、Wikidata Lexico分 replicas、WikibaseMediaInfo等使用的编辑总结中可能包含其他被滥用的消息。 相关更改 SECURITY: Escape system messages in autocomments SECURITY: Escape system messages in autocomments SECURITY: Escape system messages in autocomments SECURITY: Escape system messages in autocomments