Clickjacking Zero-Day em Gestores de Senhas

O pesquisador Marek Tóth identificou vulnerabilidades zero-day de clickjacking em extensões de vários gestores de senhas populares.

1Password, Bitwarden, Enpass, iCloud Passwords, LastPass e LogMeOnce permanecem vulneráveis sem correções imediatas.

As falhas permitem ataques que roubam dados sensíveis, incluindo credenciais, informações pessoais e cartões de crédito, quando a vítima visita sites maliciosos.

Alguns fornecedores, como 1Password e LastPass, rotularam os relatórios como informativos e mostraram relutância em implementar correções robustas.

A correção recomendada inclui implementar diálogos de confirmação antes de preencher automaticamente e aumentar a pressão dos utilizadores junto dos fornecedores.

Utilizadores podem mitigar riscos desativando o autofill automático, configurando correspondência exata de URLs e ajustando definições de extensões.