Veille sécuritéFrontend
P3Élevée
Tencent BrowserSkill jusqu’à la version 0.4.2 ne vérifie pas l’identité du service auquel sa connexion WebSocket locale se rattache. Un attaquant local peut ainsi usurper le démon et obtenir les capacités de l’extension, notamment l’exécution de JavaScript dans des onglets de navigateur connectés.
JavaScript
IdentifiantCVE-2026-125361
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-125361
Analyse technique
La fonction remoteSocket() se connecte au WebSocket de loopback sans authentification ni vérification du pair. Un attaquant local peut usurper le démon bsk en liant son port avant le démarrage du démon ou après son arrêt.
Impact, versions et correctif
Événement datéRetenu comme nouvelle vulnérabilité publiée le 2026-11-10 à 00:17:07Z, soit dans la période demandée en heure +02:00.
ImpactUn attaquant local peut accéder aux outils de l’extension, dont l’exécution de JavaScript via CDP dans des onglets de navigateur déjà connectés.
Versions affectéesTencent BrowserSkill jusqu’à 0.4.2.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2 · CVSS:4.0/AV:L/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
EPSS0,12% · percentile 1,9%
Publication2026-11-10T00:17:07.717Z
Mise à jour2026-11-10T00:17:07.717Z
Action recommandée
Éviter d’exposer le service local à des processus non fiables et appliquer une mise à jour du projet dès qu’une version corrigée est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).