CVE-2026-45243
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w Summarize przed wersją 0.15.1 wynika z braku autoryzacji w moście window.postMessage skryptu treści, co pozwala złośliwym stronom na nieautoryzowane operacje na artefaktach automatyzacji. Atakujący mogą symulować wiadomości runtime ze sfałszowanymi identyfikatorami nadawcy, aby wyświetlić, odczytać, utworzyć, nadpisać lub usunąć artefakty automatyzacji przypisane do danej karty bez odpowiednich kontroli autoryzacji.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wrażliwych danych automatyzacji, co może prowadzić do wycieku informacji, manipulacji procesami lub eskalacji uprawnień w środowisku przeglądarki.
Rekomendacja
Należy natychmiast zaktualizować Summarize do wersji 0.15.1 lub nowszej, która zawiera poprawkę usuwającą brak autoryzacji w moście window.postMessage.
Oryginalny opis (angielski, źródło NVD)
Summarize prior to 0.15.1 contains a missing authorization vulnerability in the content script window.postMessage bridge that allows malicious pages to perform unauthorized operations on automation artifacts. Attackers can simulate runtime messages with spoofed sender identifiers to list, read, create, overwrite, or delete automation artifacts scoped to the affected tab without proper authorization checks.