ثغرتان في إضافة Claude لمتصفح Chrome قد تتيحان تنفيذ مهام حساسة دون علم المستخدم

كشف باحثون أمنيون عن وجود ثغرتين أمنيتين غير مصححتين في إضافة Claude لمتصفح Chrome، قد تتيحان لإضافة خبيثة تنفيذ نقرات وهمية وتشغيل مهام حساسة دون أي تدخل مباشر من المستخدم.

وتزداد خطورة الثغرتين عند تفعيل ميزة التنفيذ التلقائي (Auto-Execute)، إذ تستطيع الإضافة الوصول إلى البريد الإلكتروني والمستندات والتقويم وتنفيذ إجراءات مختلفة دون الحاجة إلى طلب موافقة المستخدم في كل مرة.

وبحسب تقرير نشره موقع TechRadar، أوضح باحثو شركة Manifold Security أن إضافة Claude لا تتحقق بشكل كافٍ مما إذا كانت النقرات صادرة عن مستخدم حقيقي، ما يسمح لإضافة خبيثة بمحاكاة هذه النقرات وتشغيل ما يصل إلى تسع مهام مبرمجة مسبقًا.

وتشمل هذه المهام قراءة رسائل Gmail، وفتح مستندات Google Docs، والاطلاع على مواعيد Google Calendar، بالإضافة إلى تعديل بيانات العملاء داخل منصة Salesforce. وقد منح الباحثون هذه الثغرة درجة خطورة 7.7 من 10 في الإعدادات الافتراضية، ترتفع إلى 9.6 من 10 عند تفعيل التنفيذ التلقائي.

وفي ثغرة ثانية، أوضح الباحثون أنها ترتبط بآلية استخدام الرابط المسؤول عن فتح اللوحة الجانبية لإضافة Claude، حيث يمكن استغلال جزء من الرابط لتجاوز نافذة الموافقة التي تظهر قبل تنفيذ المهام. وأشار التقرير إلى أن استغلال هذه الثغرة لا يتطلب سوى ستة أسطر من تعليمات JavaScript.

كما كشف فريق Manifold Security أن الشيفرة البرمجية المسؤولة عن هذه المشكلة بقيت دون تعديل عبر ثمانية تحديثات متتالية للإضافة، مؤكدين أنهم أبلغوا شركة Anthropic بالثغرتين، إلا أنهما ظلتا موجودتين في الإصدار الذي خضع للاختبار.