CVE-2026-52843
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność w Lightpanda przed wersją 0.2.9 powoduje, że funkcje fetch() i XMLHttpRequest dołączają ciasteczka sesji do każdego żądania HTTP, ignorując ustawienia credentials: omit, same-origin, include oraz XMLHttpRequest.withCredentials. Umożliwia to atakującemu kontrolującemu źródło w sesji Lightpanda wysyłanie uwierzytelnionych żądań między źródłami do ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży danych sesji użytkownika lub wykonania nieautoryzowanych działań w kontekście ofiary, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Lightpanda do wersji 0.2.9 lub nowszej, która zawiera poprawkę eliminującą to zachowanie.
Oryginalny opis (angielski, źródło NVD)
Lightpanda is a headless browser designed for AI and automation. Prior to 0.2.9, Lightpanda fetch() and XMLHttpRequest unconditionally attached session cookies to every HTTP request, ignoring credentials: omit, credentials: same-origin, credentials: include, and XMLHttpRequest.withCredentials, allowing an attacker-controlled origin in a Lightpanda session to issue authenticated cross-origin requests against a victim origin. This issue is fixed in version 0.2.9.