Im Kern ermöglicht die Schwachstelle einen lesenden Zugriff über Origin-Grenzen hinweg auf Inhalte, die im Browser des Opfers bereits authentifiziert geladen sind. Guardio Labs zufolge kann ein Angreifer so an sitzungsgebundene Daten gelangen, ohne Malware einzuschleusen, Anmeldedaten abzufischen oder Sitzungscookies zu stehlen. Es reicht, dass das Opfer die entsprechend gestaltete Webseite besucht.
Guardio-Labs-Forscher Shaked Biner beschreibt das Angriffsszenario als alltäglich wirkend: eine vom Angreifer kontrollierte Seite, getarnt wie eine Seite, auf die Nutzer etwa über Suchergebnisse oder Marketing-Mails gelangen. Sobald ein Besucher mit installierter Adobe-Acrobat-Erweiterung diese Seite öffnet, könne sie die in der Erweiterung schlummernde Funktion anstoßen und direkt auf WhatsApp Web zugreifen. Laut Biner landen dann die gerenderte WhatsApp-Web-Ansicht, die Chatliste, Kontaktnamen, Nachrichten, der Profilname und der Text der jeweils geöffneten Unterhaltung beim Angreifer.
Technisch beruht die Kette laut Guardio Labs auf zwei Voraussetzungen tief in den HTML-Spezifikationen und der Konfiguration von WhatsApp Web. Biner erklärt, dass ein option-Element ohne value-Attribut beim Absenden seinen Textinhalt überträgt. Dieser Textinhalt sei die Verkettung von allem, was darunter gerendert wird. Wird also der lebende Inhalt der Seite in ein solches Element verschoben, enthalte der übermittelte Wert den gesamten gerenderten Seitentext.
Der zweite Faktor betrifft laut Guardio Labs die Content-Security-Policy von WhatsApp Web. Da dort keine form-action-Direktive gesetzt sei, dürfe eine Formularübermittlung auf oberster Ebene gemäß Spezifikation zu jeder beliebigen Origin navigieren. In der Folge übermittle WhatsApp selbst seinen gerenderten DOM per POST an einen vom Angreifer kontrollierten Endpunkt und rendere anschließend die Antwort, die dieser zurückliefert.
Nach Angaben der Forscher lassen sich auf diese Weise die gerenderte Chatliste, Kontaktnamen, Nachrichtenvorschauen, der Profilname sowie der sichtbare Text der geöffneten Unterhaltung erfassen. Guardio Labs ordnet den Fall als Beispiel dafür ein, dass nicht nur spektakuläre Exploit-Klassen relevant seien. Entscheidend sei vielmehr die Verkettung einzelner, unscheinbar wirkender Schwachstellen auf technischer Basisebene.
Die Schwachstelle wird offiziell als CVE-2026-48294 geführt und betrifft alle Versionen der Adobe-Acrobat-Erweiterung bis einschließlich 26.5.2.2. Guardio Labs hat die Lücke unter dem Namen HermeticReader veröffentlicht; laut Quelltext ist sie inzwischen behoben.