CVE-2026-82640

Açıklama ve Etki

browser-use web-ui versions 2.0.0 through 3.0.0 write configured LLM API keys to disk in cleartext without encryption or access restrictions. Attackers with read access to the temporary settings directory can recover provider API keys from predictably-named JSON files.

Referanslar

• https://github.com/browser-use/web-ui
• https://github.com/browser-use/web-ui/blob/v3.0.0/src/webui/webui_manager.py
• https://github.com/browser-use/web-ui/issues/736
• https://www.vulncheck.com/advisories/browser-use-web-ui-2.0.0-through-3.0.0-cleartext-api-key-storage

Güvenli Doğrulama Notu

Bu sayfa saldırı gerçekleştiren payload'lar çalıştırmaz. Doğrulama; etkilenen ürün/sürümün envanterden kontrol edilmesi, üretici güvenlik duyurusunun incelenmesi ve güncellemenin uygulanması üzerinden yapılmalıdır.