Bregusrwydd sy'n caniatáu i ychwanegion Chrome weithredu cod allanol er gwaethaf caniatâd

Cyhoeddwyd dull sy'n caniatáu i unrhyw ychwanegiad Chrome weithredu cod JavaScript allanol heb roi caniatâd estynedig yr ychwanegiad (heb anniogel-eval ac anniogel-inline yn manifest.json). Mae caniatadau'n awgrymu, heb effeithlonrwydd anniogel, mai dim ond cod sydd wedi'i gynnwys yn y dosbarthiad lleol y gall yr ychwanegyn ei weithredu, ond mae'r dull arfaethedig yn ei gwneud hi'n bosibl osgoi'r cyfyngiad hwn a gweithredu unrhyw JavaScript a lwythir o wefan allanol yng nghyd-destun yr ychwanegiad- ymlaen.

Mae Google wedi cau mynediad cyhoeddus i adroddiad problem, ond yn yr archif cadwedig cod sampl i fanteisio ar y broblem. Ffordd cyffelyb dull i osgoi'r cyfyngiad 'hunan' script-src yn CSP ac sy'n deillio o amnewid tag sgript trwy document.createElement ('sgript') a chynnwys cynnwys allanol ynddo trwy'r ffwythiant fetch, ac wedi hynny bydd y cod yn cael ei weithredu yn cyd-destun yr ychwanegiad ei hun.

Ffynhonnell: opennet.ru