当前位置： 首页 > article >正文

Claude浏览器扩展漏洞允许通过任意网站实现零点击XSS提示注入

article 2026/3/27 21:41:57
网络安全研究人员披露了Anthropic公司Claude谷歌浏览器扩展中存在的一个漏洞攻击者只需诱使用户访问特定网页即可触发恶意提示注入。漏洞原理分析Koi Security研究员Oren Yomtov在提供给The Hacker News的报告中指出该漏洞允许任何网站静默地向该AI助手注入提示就像用户自己输入的一样。无需点击无需权限提示。只需访问页面攻击者就能完全控制你的浏览器。该漏洞由两个底层缺陷串联形成扩展程序中存在过于宽松的源白名单机制允许任何匹配模式(*.claude.ai)的子域向Claude发送执行提示托管在a-cdn.claude[.]ai上的Arkose Labs验证码组件存在基于文档对象模型(DOM)的跨站脚本(XSS)漏洞攻击实现方式具体而言XSS漏洞允许在a-cdn.claude[.]ai上下文中执行任意JavaScript代码。攻击者可利用此行为注入JavaScript向Claude扩展发送提示。而扩展程序仅因请求来自白名单域就会将提示视为合法用户请求显示在Claude侧边栏中。Yomtov解释道攻击者的页面在隐藏的中嵌入存在漏洞的Arkose组件通过postMessage发送XSS有效载荷注入的脚本就会向扩展程序触发提示。受害者完全不会察觉。潜在危害成功利用此漏洞可使攻击者窃取敏感数据如访问令牌获取与AI Agent的对话历史记录以受害者身份执行操作如冒充发送邮件、索取机密数据修复进展在2025年12月27日收到负责任的漏洞披露后Anthropic为Chrome扩展部署了补丁强制实施严格的源检查要求精确匹配claude[.]ai域。Arkose Labs也于2026年2月19日修复了其端的XSS漏洞。Koi Security强调AI浏览器助手功能越强大作为攻击目标的价值就越高。一个能够导航浏览器、读取凭证并代表用户发送邮件的扩展程序本质上就是一个自主Agent。而该Agent的安全性仅取决于其信任边界中最薄弱的环节。

相关文章：

Claude浏览器扩展漏洞允许通过任意网站实现零点击XSS提示注入

网络安全研究人员披露了Anthropic公司Claude谷歌浏览器扩展中存在的一个漏洞，攻击者只需诱使用户访问特定网页即可触发恶意提示注入。漏洞原理分析Koi Security研究员Oren Yomtov在提供给The Hacker News的报告中指出："该漏洞允许任何网站静默地向该…...

编程日记 2026/3/27 21:41:57

3个智能化解决方案让科研工作者实现投稿管理效率革命：Elsevier Tracker无缝集成工具

3个智能化解决方案让科研工作者实现投稿管理效率革命：Elsevier Tracker无缝集成工具 【免费下载链接】Elsevier-Tracker 项目地址: https://gitcode.com/gh_mirrors/el/Elsevier-Tracker 行业现状分析 学术出版领域数字化转型过程中，科研工作者…...

编程日记 2026/3/27 21:41:57

如何让微信聊天记录真正属于你：完整备份与分析终极指南

如何让微信聊天记录真正属于你：完整备份与分析终极指南 【免费下载链接】WeChatMsg 提取微信聊天记录，将其导出成HTML、Word、CSV文档永久保存，对聊天记录进行分析生成年度聊天报告 项目地址: https://gitcode.com/GitHub_Trending/we/WeCh…...

编程日记 2026/3/27 21:41:57

财务效率革命：printPDF免费电子发票批量打印工具深度解析

在当今数字化办公的时代背景下，财务、报销、税务等岗位的日常工作中，电子发票处理已成为不可忽视的重要环节。每月数百甚至上千张的电子发票，一张张手动打开、设置、打印的传统操作模式，不仅耗时耗力，效率低下&#xf…...

编程日记 2026/3/27 21:39:57

LeifHomieLib：ESP32/8266轻量级Homie v3 MQTT设备库

1. LeifHomieLib 项目概述LeifHomieLib 是一个专为 ESP8266 和 ESP32 平台设计的轻量级 Homie v3 协议实现库，其核心目标是为资源受限的物联网边缘节点提供符合 Homie 规范的 MQTT 设备抽象能力。该库并非 Homie v3 标准的全功能实现，而是聚焦于与 openH…...

编程日记 2026/3/27 21:39:57

避坑指南：如何在torch 2.4.0 + CUDA 12.1环境下成功安装llamafactory及其依赖

深度避坑：PyTorch 2.4.0与CUDA 12.1环境下的Llamafactory全栈部署实战 当开发者尝试在PyTorch 2.4.0和CUDA 12.1环境下部署Llamafactory时，往往会陷入依赖地狱——从Torch版本误装到vllm模块缺失，每个环节都可能成为耗时数小时的深坑。本文将…...

编程日记 2026/3/27 21:39:57

告别手打公式！用SimpleTex截图转LaTeX+Axmath微调+Typora排版的保姆级教程

数学公式高效处理全流程：从截图识别到专业排版 每次在论文或笔记中插入复杂的数学公式时，你是否也经历过这样的痛苦？反复核对LaTeX代码中的每个括号，调整上下标位置，或是为了一个特殊符号翻遍文档。传统的手动输入方式…...

编程日记 2026/3/27 21:39:57

保姆级教程：在Ubuntu 20.04上搞定海思SS524/SS522 SDK编译与固件烧录

海思SS524/SS522开发实战：从零构建嵌入式Linux系统的完整指南 作为一名长期深耕嵌入式开发的工程师，我深知从零开始搭建一个完整的开发环境有多么令人头疼。特别是当你拿到一块全新的开发板，面对陌生的SDK和工具链时，那种既兴奋又…...

编程日记 2026/3/27 21:39:57

开发提效新组合：用Cursor生成代码片段，在快马一键集成与部署

最近在做一个数据整理的小工具时，发现了一个特别高效的工作流组合：先用Cursor快速生成核心代码片段，再用InsCode(快马)平台一键整合部署。整个过程就像搭积木一样顺畅，特别适合需要快速实现功能模块的场景。 需求分析 我们经常要处…...

编程日记 2026/3/27 21:37:57

Solidity 智能合约入门：从 0 到 1 编写第一个区块链合约

一、什么是 Solidity？ Solidity 是一门面向以太坊虚拟机（EVM）、静态类型的高级编程语言，专门用于编写区块链上的智能合约。 简单来说： 智能合约 运行在区块链上的自动执行代码（无需第三方，代…...

编程日记 2026/3/27 21:37:57

Unity URDF导入终极指南：3步快速实现机器人仿真

Unity URDF导入终极指南：3步快速实现机器人仿真 【免费下载链接】URDF-Importer URDF importer 项目地址: https://gitcode.com/gh_mirrors/ur/URDF-Importer Unity URDF Importer是Unity Robotics官方推出的机器人模型导入工具，它能够让你在Unit…...

编程日记 2026/3/27 21:37:57

x265帧内预测实战：从35种模式到MPM优化的效率提升技巧

x265帧内预测深度优化：从35种模式到MPM的工程实践 在视频编码领域，HEVC标准相比前代H.264引入了更复杂的帧内预测机制，其中x265作为开源编码器实现，其帧内预测模块的优化直接影响编码效率。本文将深入剖析x265帧内预测的核心技术…...

编程日记 2026/3/27 21:37:57

LibreHardwareMonitor：5分钟掌握免费开源硬件监控的终极指南

LibreHardwareMonitor：5分钟掌握免费开源硬件监控的终极指南 【免费下载链接】LibreHardwareMonitor Libre Hardware Monitor, home of the fork of Open Hardware Monitor 项目地址: https://gitcode.com/GitHub_Trending/li/LibreHardwareMonitor 想要实时…...

编程日记 2026/3/27 21:37:57

【YOLOv11工业级实战】35. DeepStream集成实战——构建高并发视频分析管道

摘要：在智慧交通、智慧工地等工业场景中，多路高清视频的实时分析面临高并发、低延迟、低资源占用的核心诉求。传统PyTorch逐帧推理方案因CPU解码瓶颈、内存拷贝频繁等问题，无法满足500路以上视频流的并发处理需求。本文以NVIDIA DeepStream框架为核心，结合YOLOv11目标检测模…...

编程日记 2026/3/27 21:35:57

ElasticSearch集群搭建步骤

文章目录一、前言二、使用 RPM 安装 Elasticsearch导入 Elasticsearch GPG 密钥从 RPM 存储库安装三、设置基本安全性生成证书使用TLS加密节点间通信四、为 Elasticsearch 加密 HTTP 客户端通信五、配置集群编辑 elasticsearch.yml（通用配置）关键性能参数…...

编程日记 2026/3/27 21:35:57

智能变电站实战：如何用SCL配置文件搞定IED设备联调（附避坑案例）

智能变电站实战：SCL配置文件在IED设备联调中的关键作用与避坑指南 在智能变电站的工程实施中，设备联调环节往往成为项目进度的"拦路虎"。据统计，超过60%的现场调试时间消耗在IED设备间的通信配置问题上。SCL（Substation…...

编程日记 2026/3/27 21:35:57

如何在5分钟内将网页SVG完美保存为可编辑矢量文件？

如何在5分钟内将网页SVG完美保存为可编辑矢量文件？ 【免费下载链接】svg-crowbar Extracts an SVG node and accompanying styles from an HTML document and allows you to download it all as an SVG file. 项目地址: https://gitcode.com/gh_mirrors/sv/svg-cr…...

编程日记 2026/3/27 21:35:57

告别ZooKeeper！ClickHouse Keeper双机集群搭建全攻略（含常见报错解决方案）

ClickHouse Keeper双机集群实战指南：从零搭建到故障排查 1. 为什么选择ClickHouse Keeper替代ZooKeeper 在ClickHouse集群架构中，协调服务一直扮演着关键角色。传统方案依赖ZooKeeper实现分布式协调，但这种方式存在几个明显痛点： …...

编程日记 2026/3/27 21:35:56

Repomix Git日志集成：掌握commit历史分析的终极指南

Repomix Git日志集成：掌握commit历史分析的终极指南 【免费下载链接】repomix 📦 Repomix (formerly Repopack) is a powerful tool that packs your entire repository into a single, AI-friendly file. Perfect for when you need to feed your codeb…...

编程日记 2026/3/27 21:33:56

手把手教你用Matlab Simulink搭建闭环Buck电路：从PID调参到负载突变分析

从零构建闭环Buck电路：Simulink实战与PID调参全解析 电力电子工程师的日常工作中，Buck降压电路的设计与调试是基础中的基础。但真正让一个新手头疼的，往往不是电路拓扑本身，而是如何通过仿真快速验证设计，特别是当引入…...

编程日记 2026/3/27 21:33:56

新手避坑指南：用Prometheus+PX4+ROS在Gazebo里复现无人机追踪小车（保姆级流程）

新手避坑指南：用PrometheusPX4ROS在Gazebo里复现无人机追踪小车（保姆级流程） 当第一次接触无人机仿真开发时，很多人会被复杂的工具链和晦涩的错误信息劝退。本文将手把手带你完成从零搭建仿真环境到实现视觉追踪的全过程&#xff…...

编程日记 2026/3/27 21:33:56

用腾讯云轻量锐驰和对象存储，手把手教你30分钟搞定私人不限速网盘（附SSL证书配置）

零基础30分钟搭建高性能私人网盘：腾讯云轻量锐驰对象存储实战指南 你是否也受够了公有网盘动辄几百KB的下载速度？每次分享文件给朋友，对方总要忍受龟速下载的煎熬。更别提那些突然消失的文件和频繁弹出的会员广告——是时候拥有一个完全自主掌…...

编程日记 2026/3/27 21:33:56

brpc连接池动态调整算法：基于排队理论的设计与实现

brpc连接池动态调整算法：基于排队理论的设计与实现 【免费下载链接】brpc brpc is an Industrial-grade RPC framework using C Language, which is often used in high performance system such as Search, Storage, Machine learning, Advertisement, Recommendat…...

编程日记 2026/3/27 21:33:55

新手福音：免安装claude code，在快马平台开启你的ai编程第一课

作为一个刚接触编程的新手，最近想尝试用AI辅助写代码，但光是安装本地工具就让我头疼不已。直到发现了InsCode(快马)平台，才发现原来AI编程可以这么简单——不用配环境、不用解决依赖冲突，打开网页就能直接开玩。今天就把我的入门体…...

编程日记 2026/3/27 21:31:55

基于模糊PID的水下航行器运动控制系统研究——Matlab 2016b及以上软件应用、课程报告...

基于模糊PID的水下航行器运动控制系统研究 1.适用软件Matlab 2016b及以上 2.课程报告6500字左右共16页 3.课程报告小报告仿真仿真视频 4.请结合以下图片水下航行器的运动控制一直是海洋工程领域的热门课题。面对复杂多变的洋流扰动和强非线性的水动力特性，传统PID控…...

编程日记 2026/3/27 21:31:55

如何使用Postman，通过Mock的方式测试我们的API

🍅 点击文末小卡片，免费获取软件测试全套资料，资料在手，涨薪更快 这篇文章将教会大家如何利用 postman，通过 Mock 的方式测试我们的 API。什么是 MockMock 是一项特殊的测试技巧，可以在没有依赖项的情况下进…...

编程日记 2026/3/27 21:31:55

Deepfake Offensive Toolkit Docker部署：跨平台解决方案详解

Deepfake Offensive Toolkit Docker部署：跨平台解决方案详解 【免费下载链接】dot The Deepfake Offensive Toolkit 项目地址: https://gitcode.com/gh_mirrors/dot/dot Deepfake Offensive Toolkit（简称dot）是一款功能强大的深度学习…...

编程日记 2026/3/27 21:31:55

源网荷储全场景适配：新型电力系统时序数据库落地指南

新型电力系统应该用什么数据库？源网荷储四侧的时序数据库选型与落地实战 “双碳”目标的推进正在深刻重构电力系统的运行逻辑。新能源装机占比持续攀升，储能、虚拟电厂、需求响应等新业态快速涌现，源、网、荷、储各侧的角色与互动方式正在被…...

编程日记 2026/3/27 21:31:55

手把手教你用STM32F103驱动ST7565R芯片的JLX12864G屏幕（附取模工具配置）

STM32F103驱动ST7565R液晶屏的深度开发指南 在嵌入式显示领域，128x64分辨率的单色液晶屏因其性价比高、接口简单而广受欢迎。本文将深入探讨基于STM32F103微控制器驱动ST7565R芯片的JLX12864G液晶屏的完整技术方案，从硬件连接到高级显示功能的实现&#…...

编程日记 2026/3/27 21:29:55

二进制入门及其运算

二进制,十进制以及它们之间的转换- 十进制:我们日常生活中最常用的计数系统是\它的基数是10,使用0 - 9这十个数字来表示数。每个数位的权重是10的幂次方,从右往左依次是10⁰、10、10等。例如,数字234可以表示为210 310 410⁰。- 二进制:是计算机科学中广泛使用的计数系统。它的…...

编程日记 2026/3/27 21:29:55