En metode, der gør det muligt for enhver Chrome-udvidelse at køre ekstern JavaScript-kode uden at give udvidelsen udvidede tilladelser (uden unsafe-eval og unsafe-inline i manifest.json). Adgangsrettighederne indebærer, at uden unsafe-eval kan udvidelsen kun udføre kode, der er en del af den lokale distribution, men den foreslåede metode giver mulighed for at omgå denne begrænsning og udføre al JavaScript, der er indlæst fra et eksternt websted, i udvidelsens kontekst.
I øjeblikket har Google lukket offentlig adgang til , men i arkivet et kodeeksempel til udnyttelse af problemet. Metoden metoden til at omgå begrænsningen script-src ‘self’ i CSP og består i at indsætte et script-tag gennem document.createElement(‘script’) og inkludere den eksterne indhold gennem funktionen fetch, hvorefter koden vil blive udført i udvidelsens egen kontekst.
Kilde: opennet.ru
