CVE-2026-39839MediaWiki Cargo Extension 3.8.7之前版本存在存储型XSS漏洞。该漏洞源于对Web页面中脚本相关HTML标签的中和处理不当。攻击者可利用此漏洞注入恶意脚本，当受害者访问受影响页面时，脚本将在其浏览器中执行，进而窃取会话令牌或篡改页面内容，造成安全风险。
该漏洞属于存储型跨站脚本攻击。在MediaWiki的Cargo扩展中，特定输入点未能正确过滤和转义用户提交的HTML标签内容。攻击者无需经过身份认证即可构造包含恶意JavaScript代码的Payload并提交至服务器。由于缺乏有效的中和机制，该恶意数据被持久化存储。当其他用户浏览包含该数据的页面时，服务器会将恶意脚本作为HTML的一部分返回给浏览器，导致浏览器解析并执行攻击者预设的代码。利用CVSS向量分析，攻击者需要诱导用户进行交互（如点击链接），且利用复杂度低，影响范围可延伸至子域。