È stato rilevato un problema nel browser Chrome riguardo all'invio di dati riservati ai server di Google quando è attivata la modalità avanzata di controllo ortografico, che prevede l'utilizzo di un servizio esterno per la verifica. Il problema si verifica anche nel browser Edge con l'uso di Microsoft Editor.
È emerso che il testo sottoposto a verifica viene trasmesso, tra l'altro, da moduli di input che contengono dati sensibili, compresi quelli con nomi utente, indirizzi, email, dati del passaporto e, nei casi in cui i campi per l'immissione delle password non siano limitati dal tag standard «», persino le password. Ad esempio, il problema porta all'invio di un server www.googleapis.com di password nel caso venga attivata l'opzione per mostrare la password inserita, implementata nei servizi Google Cloud (Secret Manager), AWS (Secrets Manager), Facebook, Office 365, Alibaba Cloud e LastPass. Su 30 siti noti testati, tra cui social network, banche, piattaforme cloud e negozi online, 29 sono risultati vulnerabili a questa perdita.
In AWS e LastPass, il problema è stato rapidamente risolto aggiungendo il parametro "spellcheck=false" nel tag "input". Per bloccare l'invio dei dati da parte dell'utente, è necessario disattivare nelle impostazioni il controllo ortografico avanzato (sezione "Languages/Spell check/Enhanced spell check" o "Lingue/Controllo ortografico/Controllo avanzato", il controllo avanzato è disattivato di default).
Fonte: opennet.ru
