# $1000 Hidden Browser Permission Execution via Picture-in-Picture Overlay

Saya menemukan **bug pada browser** di mana fitur **Picture-in-Picture (PiP)** dapat **menutupi dialog permission**, seperti permission akses kamera dan permission sensitif lainnya.  
Meskipun dialog permission tersebut tertutup oleh overlay PiP, **permission tetap dapat dieksekusi**.

Pada bug yang saya temukan, **PiP dapat menutupi permission open camera**, dan permission tersebut **dapat dijalankan hanya dengan menekan tombol Enter**. Akibatnya, **kamera akan menyala tanpa sepengetahuan user/victim**, karena dialog permission tidak terlihat oleh user akibat tertutup oleh PiP.

Bug ini menunjukkan bahwa **permission masih menerima input meskipun tidak terlihat**, sehingga memungkinkan eksekusi permission dengan **interaksi user yang sangat minim**.  
  
Bagi kalian yang tidak tau picture in picture itu apa kalian bisa baca ini  
[https://developer.chrome.com/docs/web-platform/document-picture-in-picture](https://developer.chrome.com/docs/web-platform/document-picture-in-picture)