CVE-2026-45150
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Zen Browser przed wersją 1.19.13b nie wyświetlał trwałego i wyraźnego powiadomienia bezpieczeństwa przy przejściu strony w tryb pełnoekranowy. Umożliwiało to stronie atakującej ukrycie rzeczywistego interfejsu przeglądarki i informacji o pochodzeniu, podszywanie się pod zaufany interfejs oraz wykorzystanie skracania długich domen do kradzieży danych logowania.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku phishingowego i kradzieży poświadczeń użytkowników, którzy mogą zostać oszukani przez fałszywy interfejs zaufanej strony.
Rekomendacja
Należy niezwłocznie zaktualizować przeglądarkę Zen do wersji 1.19.13b lub nowszej, która zawiera naprawę tej luki.
Inne podatności w Zen Browser
Zobacz wszystkie- CVE-2026-57501Nieznane
W przeglądarce Zen opartej na Firefoksie, przed wersją 1.21.5b, funkcje szybkiego podglądu i podziału widoku (glance i split-view) w menu kontekstowym ładowały linki z uprawnieniami systemowymi zamiast uprawnieniami strony źródłowej. Umożliwiało to złośliwej stronie umieszczenie linku do pliku lokalnego, który po otwarciu przez te opcje omijał zabezpieczenia blokujące dostęp do plików.
- CVE-2026-44659Średnie
Przeglądarka Zen (oparta na Firefoksie) przed wersją 1.19.12b niepoprawnie skraca długie nazwy hostów na pasku adresu, pokazując jedynie kontrolowany przez atakującego prefiks subdomeny i ukrywając rzeczywistą domenę. Atakujący może tworzyć bardzo długie złośliwe subdomeny imitujące zaufane marki, co umożliwia phishing.
Oryginalny opis (angielski, źródło NVD)
Zen is a firefox-based browser. Prior to 1.19.13b, Zen Browser did not provide a persistent, clearly visible security notification when a webpage entered fullscreen mode, allowing an attacker-controlled page to hide the real browser UI and origin information, imitate a trusted website UI, and combine with long-domain URL eliding to spoof a trusted origin for phishing and credential theft. This issue is fixed in version 1.19.13b.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS