क्रोम एड-अनहरूलाई अनुमति भए पनि बाह्य कोड कार्यान्वयन गर्न अनुमति दिने जोखिम

प्रकाशित एउटा विधि जसले कुनै पनि Chrome एड-अनलाई एड-अन विस्तारित अनुमतिहरू (manifest.json मा असुरक्षित-eval र असुरक्षित-इनलाइन बिना) प्रदान नगरी बाह्य JavaScript कोड कार्यान्वयन गर्न अनुमति दिन्छ। अनुमतिहरूले संकेत गर्दछ कि असुरक्षित-इभल बिना एड-अनले स्थानीय वितरणमा समावेश गरिएको कोड मात्र कार्यान्वयन गर्न सक्छ, तर प्रस्तावित विधिले यो प्रतिबन्धलाई बाइपास गर्न र एड-को सन्दर्भमा बाह्य साइटबाट लोड गरिएको कुनै पनि JavaScript कार्यान्वयन गर्न सम्भव बनाउँछ। मा।

गुगलले हाल सार्वजनिक पहुँच बन्द गरेको छ समस्या रिपोर्ट, तर अभिलेखमा संरक्षित समस्या शोषण गर्न नमूना कोड। बाटो समान CSP मा script-src 'self' सीमिततालाई बाइपास गर्ने विधि र document.createElement('script') मार्फत स्क्रिप्ट ट्याग प्रतिस्थापन गर्न र फेच प्रकार्य मार्फत यसमा बाह्य सामग्री समावेश गर्न उमालेको छ, जस पछि कोड कार्यान्वयन गरिनेछ। add-on को सन्दर्भ आफै।

स्रोत: opennet.ru