CVE-2026-39837该漏洞存在于WikiWorks Mediawiki的Cargo扩展中，由于对网页中的脚本相关HTML标签处理不当，导致存储型XSS漏洞。攻击者可利用此漏洞在受影响版本的Cargo扩展中注入恶意脚本，当其他用户浏览被篡改的页面时，恶意脚本将在其浏览器中执行，从而窃取用户凭据或执行未授权操作。受影响版本为3.8.7之前的版本。
漏洞源于Cargo Extension在处理用户输入时未对HTML标签进行充分的过滤和转义。具体而言，攻击者可以在Cargo定义的字段或相关数据输入点插入包含JavaScript代码的恶意HTML标签（如<script>或带有事件处理属性的标签）。由于是存储型XSS，该恶意载荷会被持久化存储在数据库中。当具备低权限的攻击者提交数据后，任何访问该页面的用户（包括管理员）在渲染页面时，浏览器会解析这些恶意标签并执行其中的脚本。这可能导致用户的会话令牌被盗取，进而导致账户被接管。根据CVSS向量，攻击需要低权限且需要用户交互（如浏览特定页面）。