അനുമതികൾ ഉണ്ടായിരുന്നിട്ടും ബാഹ്യ കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ Chrome ആഡ്-ഓണുകളെ അനുവദിക്കുന്ന അപകടസാധ്യത

പ്രസിദ്ധീകരിച്ചു ആഡ്-ഓൺ വിപുലീകൃത അനുമതികൾ നൽകാതെ ബാഹ്യ JavaScript കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ ഏതൊരു Chrome ആഡ്-ഓണിനെയും അനുവദിക്കുന്ന ഒരു രീതി (Mifest.json-ൽ സുരക്ഷിതമല്ലാത്തതും സുരക്ഷിതമല്ലാത്തതുമായ ഇൻലൈൻ ഇല്ലാതെ). പ്രാദേശിക വിതരണത്തിൽ ഉൾപ്പെടുത്തിയിട്ടുള്ള കോഡ് മാത്രമേ ആഡ്-ഓണിന് നിർവ്വഹിക്കാനാകൂ എന്നാണ് അനുവാദങ്ങൾ സൂചിപ്പിക്കുന്നത്, എന്നാൽ നിർദ്ദിഷ്ട രീതി ഈ നിയന്ത്രണം മറികടന്ന് ആഡ്-ന്റെ പശ്ചാത്തലത്തിൽ ഒരു ബാഹ്യ സൈറ്റിൽ നിന്ന് ലോഡുചെയ്‌ത ഏത് JavaScript-യും നടപ്പിലാക്കുന്നത് സാധ്യമാക്കുന്നു. ഓൺ.

Google നിലവിൽ പൊതു ആക്‌സസ് അടച്ചു പ്രശ്ന റിപ്പോർട്ട്, എന്നാൽ ആർക്കൈവിൽ സംരക്ഷിച്ചു പ്രശ്നം പ്രയോജനപ്പെടുത്താൻ മാതൃകാ കോഡ്. വഴി സമാനമായ CSP-യിലെ സ്‌ക്രിപ്റ്റ്-src 'self' പരിമിതി മറികടക്കുന്നതിനുള്ള ഒരു രീതി, document.createElement('script') വഴി ഒരു സ്‌ക്രിപ്റ്റ് ടാഗ് മാറ്റിസ്ഥാപിക്കുന്നതിനും അതിൽ ബാഹ്യമായ ഉള്ളടക്കം കൊണ്ടുവരുന്നതിനും ഫംഗ്ഷൻ വഴി ഉൾപ്പെടുത്തുന്നതിനും, അതിനുശേഷം കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യപ്പെടും. ആഡ്-ഓണിന്റെ തന്നെ സന്ദർഭം.

അവലംബം: opennet.ru