CVE-2026-105292
Beschrijving NL
Chaterm vóór versie 0.12.1 bevat een cross-site request forgery (CSRF) kwetsbaarheid waarmee externe aanvallers de inlogstatus kunnen injecteren door chaterm://-callbacks te verzenden zonder OAuth-statusvalidatie. Aanvallers kunnen een speciaal geconstrueerde callback met door de aanvaller gecontroleerde gebruikersinformatie vanaf een webpagina activeren, waardoor het slachtoffer wordt ingelogd op het account van de aanvaller. Hierdoor worden bij de standaard gegevenssynchronisatie opgeslagen hosts, wachtwoorden en privésleutels geüpload.
Origineel (Engels) tonen
Chaterm before 0.12.1 contains a login cross-site request forgery vulnerability that allows remote attackers to inject login state by sending chaterm:// callbacks without OAuth state validation. Attackers can trigger a crafted callback with attacker-controlled userInfo from a web page, signing the victim into the attacker's account so default data sync uploads saved hosts, passwords, and private keys.