LONDON (IT BOLTWISE) – Eine reparierte Schwachstellenkette in einer Chrome-Erweiterung von Adobe könnte Angreifern stilles Lesen von WhatsApp-Web-Daten ermöglichen. Verantwortlich ist die als HermeticReader bezeichnete Lücke, die als CVE-2026-48294 mit einem CVSS-Score von 7,4 geführt wird. Für die Ausnutzung reicht es, dass ein Nutzer auf eine präparierte Seite gelangt oder dort interagiert, während die Erweiterung aktiv ist. Entscheidend: Die Abwehr durch die Same-Origin-Policy kann dabei umgangen werden, ohne dass zusätzliche Malware oder das Stehlen von Session-Cookies nötig ist.
Eine in Adobe Acrobat für den Chrome-Browser integrierte Erweiterung ist nach Bekanntwerden einer gepatchten Schwachstellenkette ins Visier geraten: Forschende beschreiben unter der Bezeichnung HermeticReader eine UXSS-ähnliche Schwäche, die im Ergebnis cross-origin lesenden Zugriff auf datenbindende Sitzungsinhalte ermöglichen kann. Offiziell ist die Lücke als CVE-2026-48294 erfasst, mit einem CVSS-Score von 7,4. Der kritische Punkt dabei ist nicht, dass eine Schadsoftware „von außen“ nachgeladen werden muss, sondern dass allein der Aufruf einer speziell präparierten Web-Page den exploitfähigen Codepfad der Erweiterung in Gang setzen kann. Das betrifft laut Beschreibung alle Versionen der Erweiterung bis einschließlich 26.5.2.2.
Der Mechanismus zielt auf die Umgehung der Browser-Sicherheitsgrenze ab, die normalerweise durch die Same-Origin-Policy geschützt wird. In der Darstellung der Forschenden besteht die Voraussetzung zwar aus Nutzerinteraktion, aber diese Hürde ist vergleichsweise niedrig: Ein Opfer muss auf eine Angreifer-URL gelenkt werden oder eine kompromittierte Seite öffnen, die dann die problematische Ausführungslogik triggert. Damit verschiebt sich der Angriff vom klassischen „Token-Diebstahl“-Szenario hin zu einer Art stiller Datenextraktion aus gerenderten UI-Inhalten. Konkret lässt sich im erfolgreichen Fall die WhatsApp-Web-Ansicht auslesen – also etwa die Chatliste, Kontaktbezeichnungen, Textvorschauen sowie Name und Inhalt der aktuell geöffneten Unterhaltung – und zwar über den Umweg der Erweiterungs-Ressourcen, die im Hintergrund mit einem zweiten, eigentlich isolierten Tab kommunizieren.
Technisch wird der Ablauf als Kettenprozess beschrieben, der mit einem von Angreifern kontrollierten HTML-Kontext beginnt. Die präparierte Seite lädt dabei ein iframe-Element aus den Erweiterungsressourcen und nutzt dieses, um Kommandos an einen in der Erweiterung „schlafenden“ Engine-Teil zu senden. Diese Engine soll WhatsApp-Integration nur aktivieren, wenn ein spezifisches Feature-Flag gesetzt ist („floodgate-add“). Sobald das gegeben ist, öffnet die Angreifer-Seite WhatsApp Web in einem Hintergrund-Tab und übermittelt die numerische Tab-ID an die Engine, damit die weitere Manipulation gezielt auf den richtigen Kontext ausgerichtet wird. Danach wird in die WhatsApp-Web-Seitenstruktur eingegriffen, indem im DOM eine POST-Form injiziert wird, die die gerenderten Inhalte in Richtung einer Angreifer-Endpoint-Aktion transportieren soll.
Warum kann dabei überhaupt Chats im Klartext „aus einer anderen Origin heraus“ abgesendet werden? Die Forschenden verweisen auf zwei Enabler aus dem HTML-Parsing und dem Content-Security-Policy-Verhalten. Erstens: Ein
-Element ohne value-Attribut kann beim Absenden seinen Textinhalt übermitteln, wobei der Textinhalt aus der gesamten darunter gerenderten Node-Struktur zusammengesetzt wird. Das bedeutet praktisch: Wenn der Angreifer den „lebenden Körper“ der Seite entsprechend positionieren kann, wird beim POST nicht nur ein einzelnes Feld, sondern der aggregierte gerenderte Seiteninhalt versendet. Zweitens spielt die Angabe (oder das Fehlen) von form-action-Regeln in der CSP von WhatsApp Web eine Rolle: Wenn diese Direktive nicht vorhanden ist, kann laut Spezifikation eine Top-Level-Form-Submission eine Navigation zu praktisch jeder Origin ermöglichen. Im Ergebnis führt WhatsApp Web den Navigationsschritt selbst aus und sendet dabei die eigene gerenderte DOM-Struktur als POST-Inhalt weiter, bevor die vom Angreifer kontrollierte Rückantwort wieder im Browser gerendert wird.
Für Unternehmen ist diese Art von Schwachstelle besonders relevant, weil sie nicht auf den üblichen Wellenbergen klassischer „Drags“ reitet. In der Beschreibung fällt vor allem auf, dass kein separater Schadcode installiert werden muss, kein Credential-Phishing erforderlich ist und auch kein direktes Auslesen von Session-Cookies nötig scheint. Stattdessen reicht die Fähigkeit, eine Opferbrowser-Interaktion in eine präparierte Umgebung zu lenken, in der die Browser- und Erweiterungsgrenzen durch eine Kombination aus DOM-Injection, Tab-Kopplung und HTML-Form-Semantik aus dem Tritt geraten. Das ist ein Muster, das man bei der Beurteilung anderer Browser-Erweiterungen wiedererkennen kann: je größer die Installationsbasis und je stärker die Erweiterung mit Web-Kontexten interagiert, desto länger dauert es typischerweise, bis ungewöhnliche „Plumbing“-Details auffallen.
Auch organisatorisch entsteht daraus eine klare Leitlinie: Patches in Browser-Erweiterungen dürfen nicht als reines „Nice-to-have“ behandelt werden, sondern müssen in Incident- und Vulnerability-Management-Prozesse wie andere Sicherheitskomponenten integriert werden. Gleichzeitig lohnt es sich, die Angriffsvoraussetzung „User Interaction“ genauer zu betrachten, weil sie in der Praxis oft nur eine Umleitung oder das Öffnen einer Seite bedeutet – also etwas, das in normalen Marketing- und Kommunikationsflüssen vorkommt. Wer WhatsApp Web oder ähnliche Web-Integrationen in Unternehmensumgebungen nutzt, sollte zudem prüfen, welche Erweiterungen überhaupt nötig sind und ob es für die betroffene Acrobat-Komponente verbindliche Update- und Rollout-Regeln gibt. Die Schwachstelle zeigt damit sehr anschaulich, wie schnell eine vermeintlich harmlose Erweiterungsfunktion durch spekulative Einfallswinkel zu einem Sicherheitsproblem mit größerer Reichweite werden kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HermeticReader: Schwachstelle in Adobe-Acrobat-Erweiterung liest WhatsApp-Web-Daten mit UXSS" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HermeticReader: Schwachstelle in Adobe-Acrobat-Erweiterung liest WhatsApp-Web-Daten mit UXSS" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HermeticReader: Schwachstelle in Adobe-Acrobat-Erweiterung liest WhatsApp-Web-Daten mit UXSS« bei Google Deutschland suchen, bei Bing oder Google News!