Уязвимост, позволяваща на добавките за Chrome да изпълняват външен код, независимо от правата за достъп

Публикувано Метод, който позволява на всяко разширение за Chrome да изпълнява външен JavaScript код, без да предоставя на разширението разширени права (без unsafe-eval и unsafe-inline в manifest.json). Права на достъп предполагат, че без unsafe-eval разширението може да изпълнява само код, включен в локалната доставка, но предложените методи дават възможност да се заобиколи това ограничение и да се изпълни всякакъв JavaScript, зареден от външен сайт, в контекста на разширението.

В момента компанията Google е закрила публичния достъп до отчета за проблема, но в архива е запазен пример на код за експлоатация на проблема. Начинът е аналогичен на метода за заобикаляне на ограничението script-src ‘self’ в CSP и се свежда до подмяна на таг script чрез document.createElement(‘script’) и включване на външно съдържание чрез функцията fetch, след което кодът ще бъде изпълнен в контекста на самото разширение.

Източник: opennet.ru