Investigadores detectaron una vulnerabilidad ya parcheada en la extensión de Adobe Acrobat para Chrome que afectaba a millones de usuarios. El fallo permitía a atacantes robar datos de WhatsApp Web si la víctima visitaba una página maliciosa. Al aprovechar un error de seguridad, el atacante podía acceder a chats, contactos y mensajes sin necesidad de malware.





Investigadores de ciberseguridad han revelado detalles de una cadena de vulnerabilidades ya parcheada en la extensión de Adobe Acrobat para Chrome que cuenta con más de 314 millones de usuarios, la cual, si se explotara, podría facilitar el secuestro silencioso de los datos de WhatsApp de un usuario.

El fallo ha sido bautizado como HermeticReader por Guardio Labs. Está rastreado oficialmente como CVE-2026-48294 (puntuación CVSS: 7.4), y la vulnerabilidad se describe como un caso de divulgación de datos de origen cruzado de clase cross-site scripting universal (UXSS). Afecta a todas las versiones de la extensión (ID: efaidnbmnnnibpcajpcglclefindmkaj) anteriores e inclusive a la 26.5.2.2.

La explotación exitosa de este fallo puede eludir la política de mismo origen del navegador y acceder a los datos vinculados a la sesión de la víctima a través de diferentes orígenes. El único requisito previo es que requiere la interacción del usuario. Debes ser convencido de visitar una URL maliciosamente diseñada o interactuar con una página web comprometida que active la ruta de código vulnerable de la extensión.

En otras palabras, un atacante puede convertir el fallo en un arma para obtener acceso de lectura de origen cruzado a los datos vinculados a la sesión. Esto puede incluir contenido autenticado de aplicaciones web de terceros cargadas en tu navegador.

"La configuración es casi insultantemente ordinaria: una página controlada por un atacante, vestida para parecer el tipo de página en la que aterrizas a través de resultados de búsqueda, correos electrónicos de marketing, etc.", dijo el investigador de Guardio Labs, Shaked Biner, en un informe. "El visitante, que ya tiene instalada la extensión de Adobe Acrobat, abre esa página".



"La página despierta un motor dormido dentro de la extensión, llega directamente a WhatsApp Web. Segundos después, la vista renderizada de WhatsApp Web —la lista de chats, los nombres de los contactos, los mensajes, el nombre del perfil, el texto de cualquier conversación abierta— todo el WhatsApp queda en manos del atacante".

Lo notable de este fallo es que no requiere que un actor malintencionado instale malware por otros medios, robe tus credenciales mediante phishing o extraiga tu cookie de sesión. Todo lo que necesita es que visites la página web diseñada.

La secuencia completa de acciones es la siguiente

* Una página controlada por un atacante llama a un elemento iframe cargado desde los recursos de la extensión. * El iframe envía comandos para alterar la configuración y activar el motor Hermes, que gestiona la integración de WhatsApp en la extensión solo si un flag de función específico está habilitado ("floodgate-add"). * La página del atacante abre WhatsApp Web en una pestaña del navegador en segundo plano. * El iframe envía comandos directamente al motor dirigidos contra la pestaña de WhatsApp después de obtener el ID numérico de la pestaña. * El motor manipula WhatsApp Web inyectando un formulario POST en el DOM de WhatsApp para robar los datos.

"¿Por qué el envío de un formulario extrae el texto del chat fuera del origen de WhatsApp? Hay dos facilitadores profundos en las especificaciones de HTML: un elemento option sin atributo de valor envía su contenido de texto, y el contenido de texto de un nodo es la concatenación de todo lo renderizado debajo de él", explicó Biner. "¡Si mueves el cuerpo activo dentro, el valor enviado de la opción se convierte en todo el texto renderizado de la página!".

"El segundo facilitador es que la política de seguridad de contenido de WhatsApp Web no incluye una directiva form-action y, según la especificación, esa ausencia significa que el envío de un formulario de nivel superior puede navegar a cualquier origen. Así que el propio WhatsApp realiza la navegación, enviando su propio DOM renderizado a nuestro endpoint controlado y luego renderizando obedientemente cualquier cosa que le devolvamos".

Como resultado, un actor de amenazas puede explotar HermeticReader para capturar la lista de chats renderizada, nombres de contactos, vistas previas de mensajes, el nombre del perfil y el texto visible de la conversación abierta.

"La industria centra su atención en las clases de exploits dramáticos y deja la infraestructura bajo la suposición de que nadie la mirará detenidamente", concluyó Guardio. "La composición es la amenaza. Los fallos a nivel de infraestructura componen el colapso del edificio, y cuanto mayor sea la base de instalaciones, más tiempo resistirá el edificio antes de que alguien revise las juntas".

Fuente:
THN