CVE-2026-54565

rhwp, Rust və WebAssembly ilə tətbiq edilmiş HWP baxıcı və redaktorudur. rhwp 0.7.15 və rhwp Chrome və Firefox genişlənmələrinin 0.2.4 versiyasından əvvəlki versiyalarda brauzer genişlənmələri ziyarət edilən səhifələrdə HWP və HWPX linklərini aşkar etmək üçün bütün-URL-lər (all-URLs) host icazəsindən istifadə edir, lakin servis işçiləri (service workers) imtiyazlı sorğulardan (fetches) əvvəl mesaj göndərənləri, URL sxemlərini və ya təyinat ünvanlarını yoxlamır. Təsirə məruz qalan yollar bunlardır: rhwp-chrome/manifest.json, rhwp-chrome/content-script.js, rhwp-chrome/sw/message-router.js, rhwp-chrome/sw/thumbnail-extractor.js, rhwp-firefox/manifest.json, rhwp-firefox/content-script.js, rhwp-firefox/sw/message-router.js və rhwp-firefox/sw/thumbnail-extractor.js. Etibarsız bir səhifə fetch-file və extract-thumbnail idarəedicilərindən localhost və ya şəxsi şəbəkə resurslarını tələb etməsini istəyə bilər. Hədəf HWP və ya HWPX faylı çıxarıla bilən PrvImage ehtiva etdikdə, genişlənmə önizləməni səhifə tərəfindən oxuna bilən DOM-da data URI kimi qaytarır ki, bu da səhifə skriptinə onu oxumağa imkan verir. Bu çatışmazlıq həmçinin daxili resursların mövcudluğunun yoxlanılmasına, portların zondlanmasına və genişlənmənin mövcudluğu və ya versiya barədə məlumatların əldə edilməsinə (fingerprinting) yol açır. İstismar üçün istifadəçi genişlənmə aktiv olduğu halda etibarsız səhifəyə daxil olmalıdır və önizləmənin açıqlanması yalnız çıxarıla bilən PrvImage ilə məhdudlaşır. Bu problem rhwp 0.7.15 və rhwp Chrome və Firefox genişlənmələrinin 0.2.4 versiyasında düzəldilmişdir.