CVE-2026-18487
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W przeglądarce Epiphany znaleziono błąd w sposobie odczytywania adresów internetowych, który pozwala atakującym na sfałszowanie nazwy domeny wyświetlanej w pasku adresu. Kliknięcie specjalnie spreparowanego linku zawierającego dwukropek (np. https://trusted.com:[email protected]/) powoduje wyświetlenie bezpiecznej strony (trusted.com) w pasku adresu, ale faktycznie ładuje stronę atakującego (attacker.com). Umożliwia to tworzenie przekonujących stron phishingowych.
Ocena ryzyka
Użytkownicy mogą zostać oszukani i podać swoje dane uwierzytelniające na fałszywej stronie, co prowadzi do kradzieży tożsamości lub naruszenia bezpieczeństwa kont.
Rekomendacja
Zaleca się aktualizację przeglądarki Epiphany do najnowszej wersji oraz edukację użytkowników w zakresie rozpoznawania podejrzanych linków.
Inne podatności w Epiphany
Zobacz wszystkie- CVE-2026-118599Średnie
W przeglądarce Epiphany istnieje luka umożliwiająca nadpisanie pliku podczas instalacji pakietów WebExtension z plików .xpi. Funkcja decompress_xpi_thread() używała libarchive z archive_read_support_format_all(), co pozwalało na rozpakowanie pliku TAR nazwanego *.xpi; spreparowany dowiązanie twarde może spowodować obcięcie i nadpisanie istniejącego pliku użytkownika z uprawnieniami do zapisu, bez ostrzeżenia, gdy użytkownik zainstaluje lub otworzy złośliwy plik .xpi.
- CVE-2026-118598Średnie
Błąd logiczny w obsłudze uprawnień witryny w Epiphany może spowodować przyznanie dostępu do kamery i mikrofonu, gdy użytkownik zatwierdzi tylko inne uprawnienie. W funkcji set_permission() typy CLIPBOARD i WEBSITE_DATA_ACCESS nie są przechowywane, więc kontrola trafiała do gałęzi else-if, która zawsze ustawiała EPHY_PERMISSION_PERMIT dla ACCESS_WEBCAM i ACCESS_MICROPHONE. Złośliwa witryna, która uzyska zgodę na dostęp do schowka lub danych witryny, może następnie użyć getUserMedia bez dodatkowego monitu.
- CVE-2026-115683Średnie
W przeglądarce Epiphany występuje warunek wyścigu, który pozwala złośliwej stronie ominąć stronę ostrzeżenia o certyfikacie TLS/SSL. Handler komunikatu skryptu 'tlsErrorPage' jest rejestrowany tuż przed załadowaniem strony błędu, co pozostawia krótkie okno, w którym poprzednio załadowana niezaufana strona może wywołać postMessage i zatwierdzić wyjątek certyfikatu bez interakcji użytkownika.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Epiphany. An issue in how the browser reads web addresses allows attackers to fake the domain name shown in the address bar. If a user clicks a specially crafted link containing a colon (for example, [https://trusted.com:[email protected]/](https://trusted.com:[email protected]/)), the address bar and security menus will display the safe website (trusted.com) but it will actually load the attacker website (attacker.com) on the screen. This allows attackers to create convincing phishing pages to trick users into trusting a malicious site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS