Clickjacking

Source et contexte: Recherche publiée par Marek Tóth (présentée à DEF CON 33), initialement le 9 août 2025 et mise à jour le 20 août 2025, portant sur une nouvelle technique de clickjacking ciblant les interfaces injectées par des extensions de navigateur. La recherche décrit une nouvelle technique générale de DOM-based Extension Clickjacking: un script malveillant rend invisibles (opacity/pointer-events/overlays/Popover API) les éléments d’UI injectés par les extensions dans le DOM, tout en restant cliquables. Testée sur 11 gestionnaires de mots de passe, la méthode a montré que tous étaient vulnérables à ce type d’attaque (et certains aussi à la variante IFRAME via web_accessible_resources mal configurés). ...

Selon BleepingComputer, six gestionnaires de mots de passe très répandus présentent des vulnérabilités de type clickjacking qui ne sont pas encore corrigées. Lors de la conférence de cybersécurité DEF CON 33, le chercheur indépendant Marek Tóth a mis en lumière une faille critique touchant plusieurs gestionnaires de mots de passe populaires, pouvant exposer les identifiants, codes 2FA et informations bancaires de dizaines de millions d’utilisateurs. Selon BleepingComputer, six applications largement utilisées – dont 1Password, Bitwarden, Enpass, iCloud Passwords, LastPass et LogMeOnce – sont vulnérables à une technique de type clickjacking. ...