CVE-2026-45245
Publiée le 2026-05-18 · Dernière modification le 2026-10-14
Les utilisateurs de l'extension de navigateur Summarize antérieurs à la version 0.15.1 sont concernés. Un attaquant peut inciter l'extension à effectuer des requêtes authentifiées vers votre réseau local privé ou vers des points de terminaison internes en plaçant des liens spécialement conçus sur une page web malveillante. Cela nécessite que la victime visite le site de l'attaquant et interagisse avec la page, bien qu'aucune authentification préalable ne soit requise pour que l'attaquant lance la tentative.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Summarize prior to 0.15.1 contains a vulnerability in the hover summary feature that allows malicious pages to dispatch synthetic mouseover events over attacker-controlled links, causing the extension to make authenticated daemon requests using stored tokens without verifying event trustworthiness. Attackers can place local or private-network URLs behind hoverable links to route authenticated requests through the daemon, potentially accessing sensitive internal endpoints when users interact with attacker-controlled content.