CVE-2026-55587 Suplantación de origen y RP ID en el puente WebAuthn de la extensión de AliasVault

Qué es CVE-2026-55587

Antes de 0.29.4, el proveedor de passkeys de la extensión de navegador de AliasVault no vincula las solicitudes al origen real de la página ni verifica que el identificador de relying party coincida con el sitio actual. Un sitio malicioso puede enviar valores de origen y relying party falsificados y, si la víctima aprueba el aviso, obtener una aserción válida para otro sitio. Requiere la extensión instalada, desbloqueada y configurada como proveedor de passkeys, y una passkey almacenada para el sitio suplantado.

Productos y versiones afectadas

• aliasvault

  • < 0.29.4

Qué hacer

1. Verificá si usás aliasvault y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

AliasVault is a privacy-first password manager with built-in email aliasing. Prior to 0.29.4, the AliasVault browser extension passkey provider does not bind passkey requests to the actual webpage origin or verify that the requested relying-party identifier matches the current website. A malicious website can provide forged origin and relying-party values and, if a victim with a matching stored passkey approves the AliasVault passkey prompt, obtain a valid assertion for a different website. Exploitation requires the extension to be installed, unlocked, and configured as a passkey provider, requires a stored passkey for the impersonated site, and cannot occur silently because the victim must approve the prompt. The server, web application, and mobile applications are not affected. This issue is fixed in version 0.29.4.

Referencias

• github.com/aliasvault/aliasvault/security/advisories/GHSA-f99p-jfhr-6ffcX_REFSOURCE_CONFIRM
• github.com/aliasvault/aliasvault/commit/a60d0966e66ecf4f6558dc40e3feb1313072ce2bX_REFSOURCE_MISC
• github.com/aliasvault/aliasvault/releases/tag/0.29.4X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 17:28VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.