İcazələrə baxmayaraq, Chrome əlavələrinə xarici kodu icra etməyə imkan verən boşluq

nəşr edilmişdir hər hansı Chrome əlavəsinə əlavə genişləndirilmiş icazələr vermədən xarici JavaScript kodunu icra etməyə imkan verən üsul (manifest.json-da təhlükəli-qiymətləndirmə və təhlükəsiz-inline olmadan). İcazələr o deməkdir ki, təhlükəli qiymətləndirmə olmadan əlavə yalnız yerli paylanmaya daxil olan kodu icra edə bilər, lakin təklif olunan metod bu məhdudiyyəti keçməyə və əlavə kontekstində xarici saytdan yüklənmiş istənilən JavaScript-i icra etməyə imkan verir. haqqında.

Google hazırda ictimai girişi bağlayıb problem hesabatı, amma arxivdə qorunub saxlanılmışdır problemdən istifadə etmək üçün nümunə kodu. yol oxşar CSP-də skript-src 'self' məhdudiyyətindən yan keçmək üsulu və sənəd.createElement('script') vasitəsilə skript teqini əvəz etmək və gətirmə funksiyası vasitəsilə ona xarici məzmunu daxil etməkdən ibarətdir, bundan sonra kod burada icra ediləcək. əlavənin özünün konteksti.

Mənbə: opennet.ru