ຊ່ອງໂຫວ່ທີ່ອະນຸຍາດໃຫ້ Chrome add-ons ປະຕິບັດລະຫັດພາຍນອກເຖິງວ່າຈະມີການອະນຸຍາດ

ຈັດພີມມາ ວິທີການທີ່ອະນຸຍາດໃຫ້ສ່ວນເສີມຂອງ Chrome ດໍາເນີນການລະຫັດ JavaScript ພາຍນອກໄດ້ໂດຍບໍ່ຕ້ອງໃຫ້ການອະນຸຍາດຂະຫຍາຍ add-on (ໂດຍບໍ່ມີການ unsafe-eval ແລະ unsafe-inline ໃນ manifest.json). ການອະນຸຍາດຊີ້ບອກວ່າໂດຍບໍ່ມີການທີ່ບໍ່ປອດໄພ - eval add-on ພຽງແຕ່ສາມາດປະຕິບັດລະຫັດທີ່ລວມຢູ່ໃນການແຈກຢາຍທ້ອງຖິ່ນ, ແຕ່ວິທີການທີ່ສະເຫນີເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຂ້າມຂໍ້ຈໍາກັດນີ້ແລະປະຕິບັດ JavaScript ໃດໆທີ່ໂຫລດມາຈາກເວັບໄຊທ໌ພາຍນອກໃນສະພາບການຂອງ add- ສຸດ.

ປະຈຸບັນ Google ໄດ້ປິດການເຂົ້າເຖິງສາທາລະນະ ບົດລາຍງານບັນຫາ, ແຕ່ຢູ່ໃນຮວບຮວມ ຮັກສາໄວ້ ລະຫັດຕົວຢ່າງເພື່ອຂຸດຄົ້ນບັນຫາ. ທາງ ຄ້າຍຄືກັນ ວິທີການທີ່ຈະຂ້າມຂໍ້ຈໍາກັດຂອງ script-src 'ຕົນເອງ' ໃນ CSP ແລະຕົ້ມລົງໄປແທນ script tag ຜ່ານ document.createElement('script') ແລະລວມທັງເນື້ອຫາພາຍນອກໃນມັນໂດຍຜ່ານຟັງຊັນ fetch, ຫຼັງຈາກນັ້ນລະຫັດຈະຖືກປະຕິບັດໃນ. ສະພາບການຂອງ add-on ຕົວຂອງມັນເອງ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru