Podatności Ladybird

W przeglądarce Ladybird przed commitem 209579c funkcja FinalizationRegistry::cleanup() usuwała martwy rekord, zachowywała iterator do następnego rekordu, a następnie wywoływała kontrolowany przez atakującego kod JavaScript. Jeśli callback wywołał unregister() dla następnego rekordu, zachowany iterator wskazywał na zwolniony węzeł, a kolejna iteracja czytała jego pola po zwolnieniu.

W przeglądarce Ladybird przed commitem c0d68bd funkcje CSSStyleSheet.cssRules, insertRule() i deleteRule() nie egzekwowały flagi origin-clean arkusza stylów wymaganym błędem SecurityError, mimo że importowane arkusze cross-origin były poprawnie oznaczane jako nie-origin-clean. Złośliwa strona mogła odczytywać reguły oraz wstawiać i usuwać reguły w arkuszu ofiary, omijając politykę Same-Origin.

Ladybird przed commitem 2f9dc7e zawiera błąd bezpieczeństwa pamięci typu dangling reference w module ładującym WebAssembly ESM-integration. Gdy funkcja JavaScript jest importowana do modułu WebAssembly ścieżką ESM, WebAssemblyModule.cpp przekazuje przez referencję lokalny na stosie obiekt Wasm::FunctionType do create_host_function, którego callback przechwytuje i później odczytuje tę referencję; po zakończeniu iteracji pętli linkowania ESM obiekt FunctionType jest niszczony, pozostawiając callback z wiszącą referencją. Nieaktualne dane typu wyniku pozwalają callbackowi zwrócić pusty wektor wyników dla statycznie niepustego wyniku, przez co rejestr docelowy zachowuje wartość pod wpływem atakującego, konsumowaną następnie przez handler WASM-GC array.set, który po jedynie sprawdzeniu null bit-castuje niskie bity referencji na wskaźnik ArrayInstance, dając dowolny zapis.