Tencent BrowserSkill CVE-2026-94111: słaba walidacja Origin w daemonie WebSocket wpuszcza złośliwe rozszerzenie

CVE-2026-94111 (Tencent BrowserSkill ≤ 0.3.0, CVSS 6.6) to insufficient origin validation w lokalnym daemonie WebSocket: akceptuje on dowolny origin chrome-extension o 32 znakach z zakresu a-p. Skutek: atakujący rejestruje złośliwe rozszerzenie jako klienta przeglądarki i przechwytuje lub manipuluje treścią strony, DOM-em i zrzutami ekranu zwracanymi agentowi AI. Walidacja, która dopuszcza każdy poprawny formatowo extension ID, to w praktyce brak walidacji.

CVE-2026-94111 (Tencent BrowserSkill ≤ 0.3.0, CVSS 6.6): daemon WebSocket akceptuje dowolny chrome-extension origin (32 znaki a-p) → złośliwe rozszerzenie rejestruje się jako klient przeglądarki → przechwytuje/manipuluje DOM, treścią, screenshotami dla agenta AI.

Sedno: walidacja formatu ≠ walidacja tożsamości. Origin nie jest tożsamością.

Attack path

malicious browser extension (any 32-char a-p ID) -> connects to local BrowserSkill WebSocket daemon -> origin check passes (format-only) -> registers as browser client for the AI agent -> intercepts/manipulates page content, DOM, screenshots

Origin nie jest tożsamością

To pokrewne DBHub MCP i OpenClaw pinning: mechanizm wygląda na kontrolę tożsamości, ale sprawdza tylko powierzchowną cechę (format origin). Skoro każdy poprawny formatowo chrome-extension ID przechodzi, to dowolne (także złośliwe) rozszerzenie zostaje zaufanym klientem. Prawdziwa kontrola musiałaby zawężać dozwolone originy do konkretnych, znanych rozszerzeń.

Zatruta percepcja agenta AI

W agentic security to szczególnie groźne: BrowserSkill dostarcza agentowi AI percepcję świata (DOM, treść, screenshoty). Jeśli klient przeglądarki może być podstawiony, atakujący kontroluje to, co agent „widzi” — a więc jego decyzje. To nie tylko wyciek; to manipulacja wejściem modelu (kontrolowanie percepcji → kontrolowanie działań).

Co powinien zrobić VE

Upgrade powyżej 0.3.0. Zawęź dozwolone originy do konkretnych, zaufanych extension ID (allowlist), nie do formatu. Zinwentaryzuj, gdzie BrowserSkill (lub podobne mostki agent↔przeglądarka) działają na stacjach i jakie rozszerzenia mają dostęp. W modelu zagrożeń agentów AI traktuj integralność percepcji jak granicę bezpieczeństwa.

Powiązane na blogu

DBHub MCP: localhost to nie granica — powierzchowna kontrola ≠ tożsamość
OpenClaw: pinning w Control UI — HTTPS present ≠ policy enforced

Źródła

OSV — CVE-2026-94111 (Tencent BrowserSkill) — osv.dev
CVE-2026-94111 (Origin Validation Error) — radar.offseq.com

Nota redakcyjna: stan informacji 28 września 2026, na podstawie publicznych danych CVE (OSV/NVD). CVE-2026-94111 (Tencent BrowserSkill ≤ 0.3.0, CVSS 6.6, insufficient origin validation w daemonie WebSocket). Ekspozycja zależy od użycia BrowserSkill jako mostka agent↔przeglądarka.