무슨 일이 있었나
Lightpanda는 표준 fetch/XHR 인증정보-범위 지정 지시문을 무시하고 요청된 인증정보 정책과 관계없이 모든 아웃바운드 요청에 세션 쿠키를 전송했습니다.
왜 중요한가
사용자를 대신하여 웹을 탐색하기 위해 Lightpanda를 사용하는 AI 에이전트의 경우, 이 버그는 인증된 세션 쿠키를 에이전트가 방문하는 모든 사이트로 유출시키며, 일반적인 에이전트 브라우징을 인증정보 탈취 벡터로 변환합니다.
공격 경로
Lightpanda의 fetch() 및 XMLHttpRequest 구현은 credentials: omit/same-origin/include 및 XMLHttpRequest.withCredentials 지시문을 무시하고 모든 HTTP 요청에 무조건적으로 세션 쿠키를 첨부하여 세션 쿠키를 타사 출처로 유출했습니다.
영향받는 시스템
0.2.9 이전의 Lightpanda
완화 방안
Lightpanda 0.2.9 이상으로 업그레이드하세요.