fevar54/cve-2026-0628-pocPoC de CVE-2026-0628 : injection de scripts dans des pages privilégiées via webview dans Chrome (CWE-862).
Prueba de concepto (PoC) para CVE-2026-0628, que demuestra la inyección de scripts en páginas privilegiadas mediante el uso de la etiqueta <webview> en Google Chrome. Esta vulnerabilidad, clasificada como CWE-862 (Missing Authorization), permite a una extensión maliciosa eludir políticas de seguridad en versiones anteriores a la 143.0.7499.192.
Preuve de concept (PoC) pour CVE-2026-0628, démontrant l'injection de scripts dans des pages privilégiées via l'utilisation de la balise <webview> dans Google Chrome. Cette vulnérabilité, classée comme CWE-862 (Missing Authorization), permet à une extension malveillante de contourner les politiques de sécurité dans les versions antérieures à la 143.0.7499.192.
CVE-2026-0628-PoC/ ├── manifest.json # Manifeste de l'extension ├── background.js # Script d'arrière-plan ├── payload.html # Page HTML avec le payload ├── exploit/ # Fichiers d'exploitation │ ├── inject.js # Script injecté dans le WebView │ └── privileged.html # Page d'exemple avec privilèges └── README.md
Chargez l'extension non empaquetée dans Google Chrome :
Naviguez vers chrome://extensions/. Activez le « Mode développeur » (Developer mode). Cliquez sur « Charger l'extension non empaquetée » (Load unpacked) et sélectionnez le dossier du dépôt. Ouvrez une page de Chrome (ex. chrome://settings) pour observer l'exécution du script injecté.
🛡️ Atténuation Mettez à jour Google Chrome vers la version 143.0.7499.192 ou supérieure pour corriger cette vulnérabilité.
📄 Références Chrome Stable Channel Update (Jan 6, 2026) NVD - CVE-2026-0628 Issue Tracker 463155954 ⚠️ Avertissement Ce code est uniquement à des fins éducatives et de recherche en sécurité. Il ne doit pas être utilisé à des fins malveillantes ou sans autorisation. L'auteur décline toute responsabilité en cas d'utilisation abusive de ces informations.
📜 Licence Ce projet est uniquement à des fins éducatives.
