Prueba de concepto (PoC) para CVE-2026-0628, que demuestra la inyección de scripts en páginas privilegiadas mediante el uso de la etiqueta <webview> en Google Chrome. Esta vulnerabilidad, clasificada como CWE-862 (Missing Authorization), permite a una extensión maliciosa eludir políticas de seguridad en versiones anteriores a la 143.0.7499.192.
Prueba de concepto (PoC) para CVE-2026-0628, que demuestra la inyección de scripts en páginas privilegiadas mediante el uso de la etiqueta <webview> en Google Chrome. Esta vulnerabilidad, clasificada como CWE-862 (Missing Authorization), permite a una extensión maliciosa eludir políticas de seguridad en versiones anteriores a la 143.0.7499.192.
CVE-2026-0628-PoC/ ├── manifest.json # Manifiesto de la extensión ├── background.js # Script de fondo ├── payload.html # Página HTML con el payload ├── exploit/ # Archivos de explotación │ ├── inject.js # Script inyectado en el WebView │ └── privileged.html # Página de ejemplo con privilegios └── README.md
Carga la extensión descomprimida en Google Chrome:
Navega a chrome://extensions/. Activa el "Modo de desarrollador" (Developer mode). Haz clic en "Cargar descomprimida" (Load unpacked) y selecciona la carpeta del repositorio. Abre una página de Chrome (ej. chrome://settings) para observar la ejecución del script inyectado.
🛡️ Mitigación Actualiza Google Chrome a la versión 143.0.7499.192 o superior para corregir esta vulnerabilidad.
📄 Referencias Chrome Stable Channel Update (Jan 6, 2026) NVD - CVE-2026-0628 Issue Tracker 463155954 ⚠️ Disclaimer Este código es únicamente con fines educativos y de investigación de seguridad. No se debe utilizar con fines maliciosos o sin autorización. El autor no se hace responsable del mal uso de esta información.
📜 Licencia Este proyecto es solo para fines educativos.
