Lightpanda 无头浏览器 — 通过格式错误的 URL 权限解析进行源混淆

Lightpanda 源计算中的 URL 解析错误允许攻击者精心制造的 URL 冒充受信任的源以用于同源策略目的。

Lightpanda 明确设计为 AI 代理的浏览工具；源混淆错误让恶意页面欺骗 AI 浏览器使用代理将攻击者内容视为受信任的，削弱了代理依赖的任何基于源的安全控制。

Lightpanda 在计算页面源时在整个 URL 字符串中搜索 '@' 而不是仅在权限组件中搜索，因此像 http://attacker.com/@victim.com/ 这样的 URL 从 attacker.com 获取但被视为属于 victim.com 的源，破坏了同源安全边界。

Lightpanda 0.3.1 之前的版本

升级到 Lightpanda 0.3.1 或更高版本。