CVE-2025-68467

Dark Reader, web sayfalarının renklerini koyu hale getiren bir erişilebilirlik tarayıcı uzantısıdır. Uzantının dinamik koyu mod özelliği, CSS stil sayfası dosyalarında bulunan web sayfalarının renklerini analiz ederek çalışır. Çapraz kaynaklı stil sayfalarını (orijinal web sayfasından farklı web sitelerinde depolanan) analiz etmek için Dark Reader bu tür dosyaları bir arka plan çalışanı aracılığıyla talep eder; isteğin kimlik bilgisi olmadan gerçekleştirilmesini ve yanıtın içerik türünün bir CSS dosyası olmasını sağlar. Dark Reader 4.9.117 sürümünden önce, bu stil içeriği stil bildirimlerini ayrıştırmak ve döngüyle işlemek amacıyla bir HTML Style Element'e atanıyor ve ayrıca performans kazanımları için sayfanın Session Storage'ında depolanıyordu. Bu durum, bir web sitesi yazarının örneğin `http[:]//localhost[:]8080/style[.]css` adresine işaret eden bir bağlantı aracılığıyla yerel olarak çalışan bir web sunucusundan stil sayfası talep etmesine olanak tanıyabilirdi. Ana bilgisayar adı, bağlantı noktası ve dosya adının kaba kuvvetle denenmesi, tarayıcı sekmesinin kısa süreliğine askıda kalmasına neden olacak performans etkisi nedeniyle olası değildir, ancak tam URL önceden biliniyorsa bir stil sayfası talep edilmesi mümkün olabilirdi. 18 Aralık 2025 itibarıyla sorunun bilinen bir istismarı yoktur. Sorun 3 Aralık 2025'te 4.9.117 sürümünde düzeltilmiştir. Stil sayfaları artık modern Constructed Style Sheets API kullanılarak ayrıştırılmakta ve çapraz kaynaklı stil sayfalarının içeriği artık sayfanın Session Storage'ında depolanmamaktadır. 4.9.118 sürümü (8 Aralık 2025) çapraz kaynaklı istekleri localhost takma adları, IP adresleri, bağlantı noktası içeren ana bilgisayarlar ve HTTPS olmayan kaynaklarla sınırlandırmaktadır. Kullanıcıların mutlak çoğunluğu bir hafta içinde otomatik olarak 4.1.117 veya 4.9.118 güncellemesini almıştır. Ancak kullanıcılar otomatik güncellemelerinin engellenmediğinden ve tarayıcı ayarlarındaki chrome://extensions veya about:addons sayfalarına giderek uzantının en son sürümünü kullandıklarından emin olmalıdır. Manuel derlemeleri kullanan kullanıcılar 4.9.118 ve üzeri sürüme yükseltmelidir. Kendi web siteleri için `darkreader` NPM paketini kullanan geliştiriciler büyük olasılıkla etkilenmemektedir, ancak çapraz kaynaklı istekleri gerçekleştirmek için `setFetchMethod()` fonksiyonuna iletilen fonksiyonun amaçlanan kapsam içinde çalıştığından emin olmalıdır. Dark Reader'ın önceki sürümlerinin başka uzantılar oluşturmak veya uygulamalarına ya da tarayıcılarına entegre etmek için özel çatallarını kullanan geliştiriciler, çapraz kaynaklı istekleri güvenli bir şekilde gerçekleştirdiklerinden ve yanıtların uygulama veya uzantı dışından erişilebilir olmadığından emin olmalıdır.