CVE-2025-68467

Dark Reader veb səhifələrin rənglərini tündləşdirən əlçatanlıq brauzer genişlənməsidir. Genişlənmənin dinamik tünd rejim funksiyası CSS stil vərəqi fayllarında tapılan veb səhifələrinin rənglərini analiz etməklə işləyir. Cross-origin stil vərəqlərini (orijinal veb səhifədən fərqli saytlarda saxlanılan) analiz etmək üçün Dark Reader belə faylları arxa plan işçisi (background worker) vasitəsilə tələb edir və sorğunun heç bir etibarnamə (credentials) olmadan yerinə yetirildiyini və cavabın məzmun tipinin CSS faylı olduğunu təmin edir. Dark Reader 4.9.117 versiyasından əvvəl, stil deklarasiyalarını analiz etmək və dövr etmək üçün bu stil məzmunu HTML Style Element-ə təyin edilir və həmçinin performans artımı üçün səhifənin Session Storage-da saxlanılırdı. Bu, veb sayt müəllifin lokal olaraq işləyən veb serverdən stil vərəği tələb etməsinə imkan verə bilərdi, məsələn, `http[:]//localhost[:]8080/style[.]css` ünvanına yönləndirilmiş link vasitəsilə. Host adının, portun və fayl adının brute force edilməsi, brauzer tabının qısa müddətə donmasına səbəb olan performans təsirinə görə ehtimal olunmurdu, lakin tam URL öncədən məlum olduqda stil vərəği tələb etmək mümkün ola bilərdi. 18 dekabr 2025-ci il tarixinə dek bu problemin məlum eksploytu yoxdur. Problem 3 dekabr 2025-ci ildə 4.9.117 versiyasında düzəldilib. Stil vərəqləri artıq müasir Constructed Style Sheets API istifadə edilərək analiz edilir və cross-origin stil vərəqlərinin məzmunu daha artıq səhifənin Session Storage-da saxlanılmır. 4.9.118 versiyası (8 dekabr 2025) cross-origin sorğularını localhost aliasları, IP ünvanları, portlu hostlar və HTTPS olmayan resurslarla məhdudlaşdırır. İstifadəçilərin mütləq əksəriyyəti bir həftə ərzində avtomatik olaraq 4.1.117 və ya 4.9.118 yeniləməsini alıblar. Lakin istifadəçilər brauzer parametrlərində chrome://extensions və ya about:addons səhifələrinə daxil olaraq avtomatik yeniləmələrinin bloklanmadığından və genişlənmənin ən son versiyasından istifadə etdiklərindən əmin olmalıdırlar. Manual build-lərdən istifadə edən istifadəçilər 4.9.118 və daha yuxarı versiyalara yüksəltmə etməlidirlər. Öz veb saytları üçün `darkreader` NPM paketindən istifadə edən tərtibatçıların təsirlənmə ehtimalı azdır, lakin onlar cross-origin sorğuları yerinə yetirmək üçün `setFetchMethod()` funksiyasına ötürülən funksiyanın nəzərdə tutulan sahədə işlədiyindən əmin olmalıdırlar. Digər genişlənmələr yaratmaq və ya öz tətbiqlərinə və ya brauzerlərinə inteqrasiya etmək üçün Dark Reader-in əvvəlki versiyalarının xüsusi forklarından istifadə edən tərtibatçılar cross-origin sorğuların təhlükəsiz şəkildə yerinə yetirildiyindən və cavabların tətbiqdən və ya genişlənmədən kənarda əlçatan olmadığından əmin olmalıdırlar.