Ranjivost koja omogućava dodacima Chrome izvršavanje vanjskog koda unatoč pravima pristupa

Objavljeno metoda koja omogućuje bilo kojem dodatku za Chrome izvršavanje vanjskog JavaScript koda bez davanja dodatku proširenih privilegija (bez unsafe-eval i unsafe-inline u manifest.json). Prava pristupa sugeriraju da bez unsafe-eval dodatak može izvršiti samo kod koji je dio lokalne distribucije, ali predložena metoda omogućuje zaobilaženje ovog ograničenja i izvršenje bilo kojeg JavaScript-a učitanog s vanjske web stranice unutar konteksta dodatka.

Trenutno je Google zatvorio javni pristup izvješću o problemu, ali u arhivi ostao je primjer koda za iskorištavanje problema. Način sličan je metodi zaobilaženja ograničenja script-src 'self' u CSP-u i svodi se na umetanje taga putem document.createElement('script') i uključivanje vanjskog sadržaja putem funkcije fetch, nakon čega će se kod izvršiti unutar konteksta samog dodatka.

Izvor: opennet.ru