CVE-2026-44659
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Przeglądarka Zen (oparta na Firefoksie) przed wersją 1.19.12b niepoprawnie skraca długie nazwy hostów na pasku adresu, pokazując jedynie kontrolowany przez atakującego prefiks subdomeny i ukrywając rzeczywistą domenę. Atakujący może tworzyć bardzo długie złośliwe subdomeny imitujące zaufane marki, co umożliwia phishing.
Ocena ryzyka
Pasek adresu przestaje być wiarygodnym wskaźnikiem pochodzenia strony, co ułatwia ataki phishingowe i łańcucha dostaw wymierzone w użytkowników. Może prowadzić do kradzieży danych uwierzytelniających.
Rekomendacja
Zaktualizuj przeglądarkę Zen do wersji 1.19.12b lub nowszej. Poinformuj użytkowników o ryzyku i zalecaj weryfikację pełnych adresów URL.
Inne podatności w Zen Browser
Zobacz wszystkie- CVE-2026-45150Średnie
Zen Browser przed wersją 1.19.13b nie wyświetlał trwałego i wyraźnego powiadomienia bezpieczeństwa przy przejściu strony w tryb pełnoekranowy. Umożliwiało to stronie atakującej ukrycie rzeczywistego interfejsu przeglądarki i informacji o pochodzeniu, podszywanie się pod zaufany interfejs oraz wykorzystanie skracania długich domen do kradzieży danych logowania.
- CVE-2026-57501Nieznane
W przeglądarce Zen opartej na Firefoksie, przed wersją 1.21.5b, funkcje szybkiego podglądu i podziału widoku (glance i split-view) w menu kontekstowym ładowały linki z uprawnieniami systemowymi zamiast uprawnieniami strony źródłowej. Umożliwiało to złośliwej stronie umieszczenie linku do pliku lokalnego, który po otwarciu przez te opcje omijał zabezpieczenia blokujące dostęp do plików.
Oryginalny opis (angielski, źródło NVD)
Zen is a firefox-based browser. Prior to 1.19.12b, the ZEN Browser incorrectly truncates long hostnames in the address bar and shows only the attacker-controlled prefix of the subdomain, hiding the actual registrable domain (eTLD+1). As a result, an attacker can craft extremely long malicious subdomains that visually imitate trusted brands, and the browser will display only the spoofed prefix, misleading users about the actual origin of the site. This directly compromises the URL bar as a security indicator and creates a phishing/supply-chain attack vector. This vulnerability is fixed in 1.19.12b.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS