Opera ujawnia podatność MCP Hub w Opera Neon umożliwiającą przejęcie kontroli nad przeglądarką

Opera opublikowała 12 listopada 2026 roku poradnik bezpieczeństwa dotyczący CVE-2026-123139, błędu o średniej istotności w rozszerzeniu MCP Hub dostarczanym z przeglądarką Opera Neon. Szczegóły opisano w poradniku bezpieczeństwa Opery.

Co się zmieniło

• CVE-2026-123139 ma wynik CVSS 5,8, co oznacza istotność średnią (Medium).
• Błąd sklasyfikowano jako CWE-940, czyli niewłaściwą weryfikację źródła kanału komunikacji.
• Dotyczy rozszerzenia Opera Neon MCP Hub w wersji 0.0.1 działającego na Opera Neon 1.0.0.
• Problem obejmuje zarówno system macOS, jak i Windows.
• Złośliwe rozszerzenie przeglądarki może wysyłać nieautoryzowane polecenia przez MCP Hub do wbudowanego rozszerzenia Browser Operator, które nie weryfikuje, czy polecenia pochodzą z zaufanego źródła.
• CVE zarezerwowano 5 listopada 2026 roku, a opublikowano 12 listopada 2026 roku; numerem CVE zarządza Opera Norway AS jako CVE Numbering Authority.

Co to znaczy dla twórców korzystających z AI

Wykorzystanie błędu wymaga lokalnego dostępu przez inne zainstalowane rozszerzenie przeglądarki, a nie zdalnego atakowania, więc najpierw w tej samej przeglądarce musi znaleźć się złośliwe rozszerzenie. To pierwsza ujawniona podatność dotycząca konkretnie MCP w architekturze rozszerzeń i centrum narzędzi głównej, konsumenckiej przeglądarki AI, co ma znaczenie, gdy przeglądarki AI coraz częściej łączą MCP z interfejsami rozszerzeń mającymi realne uprawnienia systemowe i kontrolne nad przeglądarką.

Źródła

• Improper verification of source of a communication channel - Opera security advisories (Opera, 12 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.