CVE-2026-8879
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Rozszerzenie Securly dla Chrome w wersji 3.0.7 dynamicznie rejestruje skrypt content13.min.js jako skrypt treści, który nie jest zadeklarowany w manifest.json i omija statyczną kontrolę bezpieczeństwa Chrome Web Store. Skrypt uruchamia się na wszystkich adresach URL, natychmiast ukrywa całą zawartość strony, tworzy nakładkę na cały ekran, wstrzymuje wszystkie filmy i przywraca zawartość dopiero po potwierdzeniu przez serwis worker, że strona przeszła filtrowanie. Jeśli serwery Securly są nieosiągalne, strony pozostają ukryte na czas nieokreślony.
Ocena ryzyka
Ryzyko polega na tym, że rozszerzenie może ukryć całą zawartość stron internetowych na czas nieokreślony, jeśli serwery Securly są niedostępne, co może prowadzić do zakłócenia pracy użytkowników i potencjalnego wycieku danych, jeśli użytkownicy próbują ominąć to zachowanie.
Rekomendacja
Zaleca się natychmiastową aktualizację rozszerzenia Securly do najnowszej wersji, która usuwa tę lukę, lub tymczasowe wyłączenie rozszerzenia do czasu wydania poprawki.
Inne podatności w Securly Chrome Extension
Zobacz wszystkie- CVE-2026-8889Wysokie
Wersja 3.0.7 rozszerzenia Chrome Securly używa przestarzałego skrótu SHA-1 do dopasowywania adresów URL CSAM IWF (25 020 skrótów) i listy blokowania CIPA (12 352 skrótów).
- CVE-2026-8888Wysokie
Rozszerzenie Securly Chrome w wersji 3.0.7 pobiera config.json przez HTTP i kompiluje wzorce dostarczone przez serwer jako wyrażenia regularne JavaScript za pomocą new RegExp() bez walidacji złożoności. Atakujący w ścieżce sieciowej może wstrzyknąć wzorce powodujące katastrofalne cofanie (backtracking), prowadzące do odmowy usługi podczas przeglądania.
- CVE-2026-8881Wysokie
Rozszerzenie Chrome Securly w wersji 3.0.7 używa funkcji EVP_BytesToKey z algorytmem MD5 i pojedynczą iteracją do szyfrowania AES. MD5 jest złamany od 2004 roku, a pojedyncza iteracja nie zapewnia rozciągania klucza, co osłabia szyfrowanie.
- CVE-2026-8878Wysokie
Wersja 3.0.7 rozszerzenia Securly Chrome udostępnia wiele publicznie dostępnych endpointów, które pozwalają na nieuwierzytelniony dostęp do wrażliwych danych. Ujawnione informacje to skróty SHA-1 zaciemnione prostym szyfrem Cezara, który można łatwo odwrócić.
- CVE-2026-8876Wysokie
Wersja 3.0.7 rozszerzenia Securly Chrome zawiera zakodowane na stałe, jawne hasła AES w pliku securly.min.js. Klucze te deszyfrują dane słów kluczowych alertów kryzysowych oraz dane witryn interwencyjnych.
- CVE-2026-8874Wysokie
Rozszerzenie Chrome Securly w wersji 3.0.7 pobiera pliki JSON zawierające słowa kluczowe alertów kryzysowych i reguły filtrowania przez nieszyfrowany protokół HTTP za pomocą Fetch API. Inne endpointy w tym samym rozszerzeniu poprawnie pobierają dane IWF i CIPA przez HTTPS, co wskazuje na niespójną implementację TLS.
Oryginalny opis (angielski, źródło NVD)
Version 3.0.7 of the Securly Chrome Extension dynamically registers content13.min.js as a content script via chrome.scripting.registerContentScripts() at runtime. This script is NOT declared in manifest.json and bypasses Chrome Web Store static security review. It runs on all URLs and immediately hides all page content, creates a full-page overlay, pauses all videos, and only restores content when the service worker confirms the page passes filtering. If Securly's servers are unreachable, pages remain indefinitely hidden.