Adobe Acrobat 扩展漏洞可让恶意网站读取 WhatsApp Web 数据

网络安全研究人员披露了 Adobe Acrobat Chrome 扩展中一个现已修补的漏洞链的细节，该扩展拥有超过 3.14 亿用户，如果被利用，可能助长对用户 WhatsApp 数据的静默劫持。
该缺陷被 Guardio Labs 命名为 HermeticReader。它被官方跟踪为 CVE-2026-48294（CVSS 评分：7.4），该漏洞被描述为一个通用跨站脚本（UXSS）类跨源数据泄露漏洞。它影响该扩展（ID：efaidnbmnnnibpcajpcglclefindmkaj）的 26.5.2.2 及之前的所有版本。
成功利用该漏洞可以绕过浏览器的同源策略，并跨源访问与受害者会话相关的数据。唯一的先决条件是它需要用户交互。受害者必须被说服访问一个恶意构造的 URL，或与一个触发该扩展易受攻击代码路径的受入侵网页进行交互。
换句话说，攻击者可以利用该漏洞获取对会话绑定数据的跨源读取访问权限。这可能包括受害者浏览器中加载的第三方 Web 应用程序的认证内容。
"设置过程几乎普通得令人发指：一个攻击者控制的页面，伪装成你通过搜索结果、营销邮件等进入的那种页面，"Guardio Labs 研究员 Shaked Biner 在与 The Hacker News 分享的一份报告中表示。"已经安装了 Adobe Acrobat 扩展的访问者，打开了那个页面。"
"该页面唤醒了扩展内部的一个休眠引擎，直接连接到 WhatsApp Web。几秒钟后，渲染出的 WhatsApp Web 视图——聊天列表、联系人姓名、消息、个人资料名称、任何打开的对话的文本——整个 WhatsApp 就落入了攻击者手中。"
该漏洞值得注意的是，它不需要恶意行为者通过其他方式安装恶意软件、钓鱼用户的凭据或提取其会话 cookie。它所需要的只是受害者访问精心构造的网页。
整个操作序列如下：

• 攻击者控制的页面调用从扩展资源加载的 iframe 元素。
• iframe 发送命令以更改设置，从而激活 Hermes 引擎，该引擎仅在启用了特定功能标志（"floodgate-add"）时才处理扩展中的 WhatsApp 集成。
• 攻击者页面在后台的浏览器标签页中打开 WhatsApp Web。
• iframe 在获取标签页的数字 ID 后，直接向引擎发送针对 WhatsApp 标签页的命令。
• 该引擎通过向 WhatsApp 的 DOM 中注入一个 POST 表单来操纵 WhatsApp Web，以窃取 WhatsApp 数据。

"为什么提交表单会将聊天文本带出 WhatsApp 的源？这源于 HTML 规范中的两个促成因素：一个没有 value 属性的 option 元素会提交其文本内容——而节点的文本内容是其下渲染的所有内容的拼接，"Biner 解释道。"将活动 body 移入，option 提交的值就变成了整个渲染页面的文本！"
"第二个促成因素是 WhatsApp Web 的内容安全策略没有附带 form-action 指令，根据规范，这种缺失意味着顶级表单提交可以导航到任何源。因此，WhatsApp 自己执行了导航，将其自身渲染的 DOM POST 到我们控制的端点，然后忠实地渲染我们发送回的任何内容。"
因此，威胁行为者可以利用 HermeticReader 捕获渲染的聊天列表、联系人姓名、消息预览、个人资料名称以及打开对话的可见文本。
"行业将注意力倾注在戏剧性的利用类别上，而将管道部分留给假设——认为没有人会仔细审视它，"Guardio 总结道。"组合才是威胁。管道级别的缺陷组合成建筑级别的崩塌，安装基数越大，建筑在有人检查接合处之前矗立的时间就越长。"