Egy sebezhetőség, amely lehetővé teszi a Chrome kiegészítők számára, hogy külső kódot futtassanak a hozzáférési jogok ellenére

Megjelent Olyan módszer, amely lehetővé teszi bármely Chrome-bővítmény számára külső JavaScript-kód végrehajtását anélkül, hogy a bővítménynek kiterjesztett jogosultságokat kellene adnia (az unsafe-eval és unsafe-inline nélkül a manifest.json-ban). A hozzáférési jogok azt feltételezik, hogy unsafe-eval nélkül a bővítmény csak a helyi szállítmányban található kódot tudja végrehajtani, de a javasolt módszer megkerüli ezt a korlátozást, és lehetővé teszi bármilyen JavaScript kód végrehajtását, amely egy külső webhelyről van betöltve a bővítmény kontextusában.

Jelenleg a Google megszüntette a nyilvános hozzáférést a problémáról szóló jelentéshez, de az archívumban megmaradt a hiba kihasználásához szükséges kódpélda. A módszer hasonló a a script-src 'self' korlátozást megkerülő eljárás, amely a document.createElement('script') segítségével script tagek beillesztéséből áll, majd a fetch funkcióval külső tartalmat tölt be, így a kód a bővítmény kontextusában fog végrehajtódni.

Forrás: opennet.ru