Vulnerabilidad que permite que los complementos de Chrome ejecuten código externo a pesar de los permisos

publicado un método que permite que cualquier complemento de Chrome ejecute código JavaScript externo sin otorgar permisos extendidos al complemento (sin unsafe-eval y unsafe-inline en manifest.json). Los permisos implican que sin una evaluación insegura el complemento solo puede ejecutar código incluido en la distribución local, pero el método propuesto permite evitar esta restricción y ejecutar cualquier JavaScript cargado desde un sitio externo en el contexto del complemento. en.

Google ha cerrado actualmente el acceso público a informe de problema, pero en el archivo Preservado código de muestra para explotar el problema. Forma es similar un método para evitar la limitación 'self' de script-src en CSP y se reduce a sustituir una etiqueta de script a través de document.createElement('script') e incluir contenido externo en él a través de la función de recuperación, después de lo cual el código se ejecutará en el contexto del complemento en sí.

Fuente: opennet.ru