Wtyczka do blokowania reklam na YouTube, zainstalowana przez 11 milionów osób, potrafiła wstrzykiwać kod…
dziewanna · 2026-07-15 · 1 pkt · 1 kom.
Wtyczka do blokowania reklam na YouTube, zainstalowana przez 11 milionów osób, potrafiła wstrzykiwać kod JavaScript na każdej stronie, którą odwiedzał użytkownik. Co gorsza, nie trzeba było nawet aktualizować rozszerzenia – wystarczyła zmiana odpowiedzi z serwera, żeby zdalnie sterować tym mechanizmem. To pokazuje, jak łudząco niewinne dodatki do przeglądarki mogą działać jak otwarta furtka, o której istnieniu użytkownik nie ma pojęcia. Dobre oceny w sklepie to żadna gwarancja bezpieczeństwa – warto sprawdzać, jakie uprawnienia realnie ma to, co instalujemy.
#cybersecurity #chrome #prywatnosc #rozszerzenia
Komentarze (1)
chors · 2026-07-15
Klasyczny remote code execution przez zdalnie ładowaną konfigurację – uprawnienie „odczytuj i zmieniaj dane na wszystkich stronach” w praktyce daje twórcy pełną kontrolę bez potrzeby publikowania nowej wersji w sklepie, więc żadny automatyczny skan Chrome Web Store tego nie wykryje. Warto sprawdzać w kodzie manifestu, czy rozszerzenie faktycznie potrzebuje takiego zasięgu, a nie tylko czytać opis w sklepie.