CVE-2026-33622

PinchTab, süni intellekt agentlərinə Chrome brauzeri üzərində birbaşa nəzarət imkanı verən müstəqil HTTP serverdir. PinchTab `v0.8.3`-dən `v0.8.5`-ə qədər olan versiyalarda, sorğu `fn` rejimindən istifadə etdikdə, `security.allowEvaluate` söndürülmüş olsa belə, `POST /wait` və `POST /tabs/{id}/wait` vasitəsilə ixtiyari JavaScript kodunun icrasına yol verilir. `POST /evaluate` funksiyası standart olaraq söndürülmüş `security.allowEvaluate` qoruyucusunu düzgün şəkildə tətbiq edir. Lakin təsirlənmiş versiyalarda `POST /wait` istifadəçi tərəfindən idarə olunan `fn` ifadəsini qəbul edir, onu birbaşa icra edilə bilən JavaScript daxilinə yerləşdirir və eyni siyasəti yoxlamadan brauzer kontekstində qiymətləndirirdi. Bu, ayrıca autentifikasiyadan yan keçmə deyil, təhlükəsizlik siyasətinin yan keçilməsidir. Eksploytasiya hələ də autentifikasiya olunmuş API girişini tələb edir, lakin server tokeninə malik olan çağırıcı, operator JavaScript qiymətləndirməsini açıq şəkildə söndürmüş olsa belə, tab kontekstində ixtiyari JavaScript kodu icra edə bilər. Cari iş sahəsi (worktree), kod olmayan gözləmə rejimlərini saxlayaraq, `/evaluate` hissəsində mövcud olan eyni siyasət sərhədini `/wait` hissəsindəki `fn` rejiminə tətbiq etməklə bu problemi həll edir. Nəşr edildiyi vaxt etibarilə yamalı versiya hələ mövcud deyil.