慢雾信息安全官 23pds 在 X 平台发文表示，新型 WebAuthn 密钥登录绕过攻击方式。攻击者可通过恶意浏览器扩展或网站 XSS 漏洞劫持 WebAuthn API，实现强制降级为密码登录或篡改密钥注册流程以窃取凭据。该攻击无需物理接触设备或访问生物识别功能即可完成。

WebAuthn 是 W3C 和 FIDO 联盟制定的重要 Web 认证标准，支持硬件密钥、生物识别等多种认证方式，目前被广泛应用于网站安全登录。建议相关企业和用户及时关注该安全风险。