En sårbarhet som tillåter Chrome-tillägg att köra extern kod, trots åtkomsträttigheter

Publicerad En metod som gör det möjligt för vilket Chrome-tillägg som helst att köra extern JavaScript-kod utan att ge tillägget utökade behörigheter (utan unsafe-eval och unsafe-inline i manifest.json). Behörigheterna innebär att utan unsafe-eval kan tillägget endast köra kod som ingår i den lokala distributionen, men den föreslagna metoden gör det möjligt att kringgå denna begränsning och köra vilken JavaScript-kod som helst som laddats från en extern webbplats inom tilläggets kontext.

För närvarande har företaget Google stängt den offentliga tillgången till rapporten om problemet, men i arkivet har ett exempel på kod för att utnyttja problemet bevarats. Metoden jämförbart med för att kringgå begränsningen script-src 'self' i CSP handlar om att infoga script-taggen via document.createElement('script') och inkludera extern innehåll genom fetch-funktionen, varefter koden kommer att köras i tilläggets kontext.

Källa: opennet.ru