CVE-2026-34090Wikimedia Foundation CheckUser组件存在敏感信息泄露漏洞。由于安全机制缺陷,未经授权的攻击者可在无需认证的情况下,通过网络访问获取高敏感性的用户数据。该漏洞影响CheckUser 1.45.0至1.45.2之前的版本,威胁等级为高危。
该漏洞源于Wikimedia CheckUser扩展程序在处理敏感数据请求时,未能严格实施访问控制策略。具体而言,特定API接口缺乏有效的身份验证中间件,允许匿名用户直接访问受保护的资源。攻击者可以利用此缺陷,构造恶意的HTTP请求,在无需任何身份凭证或用户交互的情况下,远程获取系统内部的敏感检查信息。由于CVSS向量显示无需认证(PR:N)且攻击复杂度低(AC:L),该漏洞极易被自动化工具扫描利用,导致高价值用户隐私数据大规模泄露,对系统机密性造成严重影响。