Vulnerabilidade que permite que extensões do Chrome execute código externo, apesar das permissões

Publicado Um método que permite a qualquer extensão do Chrome executar código JavaScript externo sem conceder à extensão permissões avançadas (sem unsafe-eval e unsafe-inline no manifest.json). As permissões sugerem que, sem unsafe-eval, a extensão só pode executar código incluído na entrega local, mas o método proposto permite contornar essa limitação e executar, no contexto da extensão, qualquer JavaScript carregado de um site externo.

Atualmente, a empresa Google fechou o acesso público ao relatório sobre o problema, mas no arquivo permaneceu um exemplo de código para explorar o problema. O método é semelhante a para contornar a limitação script-src ‘self’ no CSP consiste em inserir a tag script através de document.createElement(‘script’) e incluir nela conteúdo externo através da função fetch, após o que o código será executado no contexto da própria extensão.

Fonte: opennet.ru