Een kwetsbaarheid die het mogelijk maakt voor Chrome-extensies om externe code uit te voeren, ondanks de toegangsrechten.

Gepubliceerd Een methode die het mogelijk maakt om in elke Chrome-extensie externe JavaScript-code uit te voeren zonder de extensie uitgebreide machtigingen te geven (zonder unsafe-eval en unsafe-inline in manifest.json). Toegangsmachtigingen houden in dat zonder unsafe-eval de extensie alleen code kan uitvoeren die bij de lokale levering hoort, maar de voorgestelde methode maakt het mogelijk om deze beperking te omzeilen en elke JavaScript-code die van een externe site is geladen in de context van de extensie uit te voeren.

Momenteel heeft Google de openbare toegang tot het probleemrapport, maar in het archief is bewaard gebleven een voorbeeldcode voor het exploiteren van het probleem. De methode vergelijkbaar met om de beperking van script-src ‘self’ in CSP te omzeilen, houdt in dat een script-tag wordt ingevoegd via document.createElement(‘script’) en externe inhoud wordt opgenomen via de fetch-functie, waarna de code wordt uitgevoerd in de context van de extensie zelf.

Bron: opennet.ru