CVE-2026-43735

Утечка информации между источниками в WebKit. Safari < 26.5.2.

PoC

Страница жертвы (открыть в Safari < 26.5.2):

https://cve43735-victim.vercel.app

Междоменный iframe:

https://cve43735-attacker.vercel.app

Определение

• Уязвимая версия: [LEAK] leakedEmail = [email protected] / leakedAccountId = ACCOUNT_314159
• Исправленная версия (>= 26.5.2): [PATCHED] NavigateEvent.sourceElement is null

Принцип

Когда родительская страница с помощью <a target=имя_iframe> запускает фрагментарную навигацию в междоменном iframe, переданное в iframe значение NavigateEvent.sourceElement оказывается тем самым элементом <a> с родительской страницы, а sourceElement.ownerDocument — это весь Document родительской страницы. Таким образом, междоменный iframe может читать (querySelector(...).textContent), изменять (DOM / action формы) и даже внедрять <script>, выполняющий JS в родительском домене, обходя политику одинакового источника. Исправление (Navigation::innerDispatchNavigateEvent) перед диспетчеризацией проверяет источник и обнуляет sourceElement при кросс-доменном запросе.