Une vulnérabilité permettant aux extensions Chrome d'exécuter du code externe, malgré les droits d'accès

Publié Une méthode permettant à n'importe quelle extension Chrome d'exécuter du JavaScript externe sans accorder à l'extension des permissions étendues (sans unsafe-eval et unsafe-inline dans manifest.json). Les permissions suggèrent qu'en l'absence de unsafe-eval, l'extension ne peut exécuter que du code faisant partie de la livraison locale, mais la méthode proposée permet de contourner cette restriction et d'exécuter dans le contexte de l'extension n'importe quel JavaScript chargé depuis un site externe.

Actuellement, Google a restreint l'accès public à le rapport sur le problème, mais dans les archives, il a été conservé un exemple de code pour exploiter le problème. La méthode est similaire à la méthode de contournement de la restriction script-src ‘self’ dans CSP et consiste à substituer une balise script via document.createElement(‘script’) et à y inclure le contenu externe via la fonction fetch, après quoi le code sera exécuté dans le contexte même de l'extension.

Source : opennet.ru