@jitsi/electron-sdk before 10.0.5 exposes getDesktopSources() via contextBridge without requiring an active getDisplayMedia() picker, allowing any script in the meeting page to enumerate screens and windows. Attackers can call the jitsi-screen-sharing-get-sources IPC route to retrieve desktop thumbnails at arbitrary resolution without user consent or operating system permission prompts.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Jitsi Jitsi
cpe:2.3:a:jitsi:jitsi:*:*:*:*:*:*:*:*
|
— |
10.0.5
|
Ссылки 6
https://github.com/jitsi/jitsi-meet-electron-sdk
disclosure@vulncheck.com
https://github.com/jitsi/jitsi-meet-electron-sdk/blob/002dae740e63a225c0bc8ed7b…
disclosure@vulncheck.com
https://github.com/jitsi/jitsi-meet-electron-sdk/blob/v10.0.5/screensharing/mai…
disclosure@vulncheck.com
https://github.com/jitsi/jitsi-meet-electron-sdk/commit/144080fdddad2d11f738047…
disclosure@vulncheck.com
https://github.com/jitsi/jitsi-meet-electron-sdk/pull/516
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/jitsi-electron-sdk-before-10.0.5-unauthori…
disclosure@vulncheck.com