Une fuite de mots de passe a été détectée dans Chrome à partir des champs de saisie masquée.

Un problème a été détecté dans le navigateur Chrome concernant l'envoi de données sensibles vers les serveurs de Google lorsque le mode de vérification orthographique avancé est activé, impliquant une vérification via un service externe. Le problème se manifeste également dans le navigateur Edge lors de l'utilisation de l'extension Microsoft Editor.

Il s'avère que le texte soumis pour vérification provient notamment de formulaires contenant des données sensibles, y compris des champs contenant des noms d'utilisateur, des adresses, des courriels, des informations de passeport et même des mots de passe, si les champs de saisie de mots de passe ne sont pas limités par la balise standard « ». Par exemple, le problème conduit à l'envoi sur serveur www.googleapis.com de mots de passe en cas d'activation de l'option de visualisation du mot de passe, mise en œuvre dans les services Google Cloud (Secret Manager), AWS (Secrets Manager), Facebook, Office 365, Alibaba Cloud et LastPass. Sur 30 sites reconnus testés, y compris des réseaux sociaux, des banques, des plateformes cloud et des magasins en ligne, 29 se sont révélés vulnérables à cette fuite.

Dans AWS et LastPass, le problème a déjà été rapidement résolu en ajoutant le paramètre « spellcheck=false » dans la balise « input ». Pour bloquer l'envoi de données côté utilisateur, il est conseillé de désactiver la vérification orthographique avancée dans les paramètres (section « Languages/Spell check/Enhanced spell check » ou « Langues/Vérification orthographique/Vérification avancée », par défaut désactivée).

1

Source : opennet.ru