Claude Chrome 확장의 1.41 이하 버전에서 고위험 키워드 주입 취약점이 존재하므로 즉시 업그레이드해야 합니다

GoPlus에 따르면 Koi 보고서에서 Anthropic의 Claude Chrome 확장 프로그램에 고위험 키워드 주입 취약점이 존재하며, 1.41 버전 이하의 모든 확장이 영향을 받습니다.

공격자는 악성 웹페이지를 구성하여 백그라운드에서 크로스 사이트 스크립트(XSS) 취약점이 있는 iframe을 조용히 로드하고 a-cdn.claude.ai 서브도메인 내에서 악성 페이로드를 실행할 수 있습니다. 해당 서브도메인이 확장 프로그램의 신뢰 화이트리스트에 있기 때문에 공격자는 Claude 확장에 악성 키워드를 직접 전송하고 자동으로 실행할 수 있으며, 이 과정에서 사용자 승인이나 클릭 작업이 필요 없고 피해자는 이를 인식하지 못합니다. 이 취약점은 공격자가 Claude 확장을 조작하여 사용자의 Google Drive 문서를 읽거나 비즈니스 액세스 토큰을 탈취하거나 채팅 기록을 내보내는 등의 작업을 수행할 수 있게 하며, 이를 통해 현재 브라우저 세션을 장악하고 피해자 신분으로 이메일 전송과 같은 민감한 작업을 수행할 수 있습니다. GoPlus는 사용자에게 즉시 Claude 확장을 1.41 이상으로 업데이트하고 피싱 링크에 주의할 것을 권장합니다.