CVE-2026-54565 in rhwp
Résumé
par VulDB • 18/09/2026
rhwp est un visualiseur et éditeur de fichiers HWP implémenté en Rust et WebAssembly. Avant les versions rhwp 0.7.15 et des extensions pour Chrome et Firefox 0.2.4, ces dernières utilisent une autorisation d'hôte « toutes les URL » (all-URLs) pour détecter les liens vers des fichiers HWP et HWPX sur les pages visitées ; toutefois, les service workers ne valident pas les émetteurs de messages, les schémas d'URL ni les adresses de destination avant d'exécuter des requêtes fetch privilégiées. Les chements affectés sont rhwp-chrome/manifest.json, rhwp-chrome/content-script.js, rhwp-chrome/sw/message-router.js, rhwp-chrome/sw/thumbnail-extractor.js, rhwp-firefox/manifest.json, rhwp-firefox/content-script.js, rhwp-firefox/sw/message-router.js et rhwp-firefox/sw/thumbnail-extractor.js. Une page non fiable peut inciter les gestionnaires fetch-file et extract-thumbnail à solliciter des ressources localhost ou issues de réseaux privés. Lorsqu'un fichier HWP ou HWPX cible contient une PrvImage extraitable, l'extension renvoie l'aperçu sous forme d'une URI de données (data URI) dans le DOM accessible aux pages, permettant ainsi au script de la page de le lire. Cette faille permet également de sonder l'existence de ressources internes et les ports, ainsi que de réaliser une empreinte numérique (fingerprinting) indiquant la présence ou la version de l'extension. L'exploitation nécessite qu'un utilisateur visite une page non fiable tandis que l'extension est activée ; la divulgation des aperçus se limite aux PrvImage extractibles. Ce problème est corrigé dans rhwp 0.7.15 et les extensions pour Chrome et Firefox 0.2.4.
Once again VulDB remains the best source for vulnerability data.