CVE-2026-52842
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność w Lightpanda przed wersją 0.3.1 pozwala na obejście polityki samego pochodzenia (Same-Origin Policy) poprzez błędne parsowanie znaku @ w adresie URL. Atakujący może wstrzyknąć adres URL taki jak http://attacker.com/@victim.com/, który zostanie pobrany z attacker.com, ale przeglądarka uzna go za pochodzący z victim.com.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataków typu cross-origin, takich jak kradzież danych, podszywanie się pod zaufane domeny lub wykonywanie nieautoryzowanych operacji w kontekście innej witryny.
Rekomendacja
Należy niezwłocznie zaktualizować Lightpanda do wersji 0.3.1 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Lightpanda is a headless browser designed for AI and automation. Prior to 0.3.1, Lightpanda searched for @ across the entire URL string instead of only the authority component when computing a page origin, so a URL such as `http://attacker.com/@victim.com/` was fetched from attacker.com but treated as `http://victim.com`, allowing a complete Same-Origin Policy bypass. This issue is fixed in version 0.3.1.