Vulnerabilitéit déi Chrome Add-ons erlaabt externe Code auszeféieren trotz Permissiounen

publizéiert eng Method déi all Chrome Add-on erlaabt externen JavaScript Code auszeféieren ouni den Add-on erweidert Permissiounen ze ginn (ouni onsécher-eval an onsécher-inline am manifest.json). Permissiounen implizéieren datt ouni onsécher Eval den Add-on nëmme Code ausféiere kann, deen an der lokaler Verdeelung abegraff ass, awer déi proposéiert Method mécht et méiglech dës Restriktioun z'iwwergoen an all JavaScript auszeféieren, deen vun engem externe Site am Kontext vum Add- op.

Google huet de Moment den ëffentlechen Zougang zougemaach Problem Rapport, awer am Archiv konservéiert Beispill Code fir de Problem auszenotzen. Wee ähnlech eng Method fir d'Skript-src 'Selbstbegrenzung' am CSP z'iwwergoen a sech op d'Ersetzen vun engem Skript-Tag via document.createElement('Script') ze ersetzen an externen Inhalt iwwer d'Fetch-Funktioun anzebezéien, duerno gëtt de Code ausgefouert an de Kontext vum Add-on selwer.

Source: opennet.ru