CVE-2026-118598
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Błąd logiczny w obsłudze uprawnień witryny w Epiphany może spowodować przyznanie dostępu do kamery i mikrofonu, gdy użytkownik zatwierdzi tylko inne uprawnienie. W funkcji set_permission() typy CLIPBOARD i WEBSITE_DATA_ACCESS nie są przechowywane, więc kontrola trafiała do gałęzi else-if, która zawsze ustawiała EPHY_PERMISSION_PERMIT dla ACCESS_WEBCAM i ACCESS_MICROPHONE. Złośliwa witryna, która uzyska zgodę na dostęp do schowka lub danych witryny, może następnie użyć getUserMedia bez dodatkowego monitu.
Ocena ryzyka
Złośliwa witryna może uzyskać dostęp do kamery i mikrofonu użytkownika bez jego wiedzy, naruszając poufność audiowizualną. Wymaga to jedynie zatwierdzenia przez użytkownika monitu o dostęp do schowka lub danych witryny.
Rekomendacja
Zaktualizuj przeglądarkę Epiphany do wersji zawierającej poprawkę (commit 480c3648). Zachowaj ostrożność przy zatwierdzaniu monitów o uprawnienia w przeglądarce.
Inne podatności w Epiphany
Zobacz wszystkie- CVE-2026-118599Średnie
W przeglądarce Epiphany istnieje luka umożliwiająca nadpisanie pliku podczas instalacji pakietów WebExtension z plików .xpi. Funkcja decompress_xpi_thread() używała libarchive z archive_read_support_format_all(), co pozwalało na rozpakowanie pliku TAR nazwanego *.xpi; spreparowany dowiązanie twarde może spowodować obcięcie i nadpisanie istniejącego pliku użytkownika z uprawnieniami do zapisu, bez ostrzeżenia, gdy użytkownik zainstaluje lub otworzy złośliwy plik .xpi.
- CVE-2026-115683Średnie
W przeglądarce Epiphany występuje warunek wyścigu, który pozwala złośliwej stronie ominąć stronę ostrzeżenia o certyfikacie TLS/SSL. Handler komunikatu skryptu 'tlsErrorPage' jest rejestrowany tuż przed załadowaniem strony błędu, co pozostawia krótkie okno, w którym poprzednio załadowana niezaufana strona może wywołać postMessage i zatwierdzić wyjątek certyfikatu bez interakcji użytkownika.
- CVE-2026-18487Średnie
W przeglądarce Epiphany znaleziono błąd w sposobie odczytywania adresów internetowych, który pozwala atakującym na sfałszowanie nazwy domeny wyświetlanej w pasku adresu. Kliknięcie specjalnie spreparowanego linku zawierającego dwukropek (np. https://trusted.com:[email protected]/) powoduje wyświetlenie bezpiecznej strony (trusted.com) w pasku adresu, ale faktycznie ładuje stronę atakującego (attacker.com). Umożliwia to tworzenie przekonujących stron phishingowych.
Oryginalny opis (angielski, źródło NVD)
A logic error in Epiphany's site permission handling can cause camera and microphone access to be granted when the user only approves a different permission. In src/ephy-window.c, set_permission() stores the user's Allow/Deny choice after a WebKit permission dialog. Types CLIPBOARD and WEBSITE_DATA_ACCESS are not stored by ephy_permission_is_stored_by_permissions_manager(), so control fell into an else-if that was written as: } else if (EPHY_PERMISSION_TYPE_ACCESS_WEBCAM_AND_MICROPHONE) { Because that expression is a non-zero enum constant, the branch always ran for those types and wrote EPHY_PERMISSION_PERMIT for both ACCESS_WEBCAM and ACCESS_MICROPHONE for the site origin. The user only saw a Clipboard or Website Data Access dialog. A malicious site that obtains approval for clipboard or third-party storage access can afterwards use getUserMedia without a further camera/microphone prompt, exposing audiovisual confidentiality. Requirements: the victim must visit a malicious page and click Allow on a clipboard or website-data-access prompt. Affected: Epiphany >= 45.0 (bug present at least through 51.x). Fixed: https://gitlab.gnome.org/GNOME/epiphany/-/merge_requests/2249 (commit 480c3648). Upstream: https://gitlab.gnome.org/GNOME/epiphany/-/work_items/2976 Reporter acknowledgment: Fernando Munoz
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS