CVE-2026-52843
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.3
- EPSS
- 0.2%
- CWE
- CWE-346
- KEV Durumu
- Hayır
Yayım tarihi: 15 Temmuz 2026
Lightpanda, AI ve otomasyon için tasarlanmış bir headless tarayıcıdır. 0.2.9 sürümünden önce, Lightpanda fetch() ve XMLHttpRequest, her HTTP isteğine koşulsuz olarak oturum çerezlerini ekledi, credentials: omit, credentials: same-origin, credentials: include ve XMLHttpRequest.withCredentials değerlerini göz ardı etti. Bu, bir saldırganın kontrolündeki bir kaynaktan Lightpanda oturumunda kimlik doğrulamalı çapraz kaynak isteklerini bir hedef kaynağa karşı gerçekleştirmesine olanak tanıdı. Bu sorun 0.2.9 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
Lightpanda is a headless browser designed for AI and automation. Prior to 0.2.9, Lightpanda fetch() and XMLHttpRequest unconditionally attached session cookies to every HTTP request, ignoring credentials: omit, credentials: same-origin, credentials: include, and XMLHttpRequest.withCredentials, allowing an attacker-controlled origin in a Lightpanda session to issue authenticated cross-origin requests against a victim origin. This issue is fixed in version 0.2.9.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.