Расширение Adblock for YouTube может выполнять произвольный JavaScript‑код на любых сайтах
habr.comПопулярное браузерное расширение Adblock for YouTube может выполнять произвольный JavaScript‑код на любых сайтах. Как рассказали эксперты компании Island, расширение действительно блокирует рекламу на YouTube, но в его архитектуре есть удалённый механизм для внедрения скриптов, который можно активировать изменением конфигурации на сервере без повторной проверки в магазине и без обновления расширения.С февраля 2025 года в коде используется кастомное правило trusted‑create‑element, которое позволяет создавать элементы <script> и обращаться к конфиденциальным данным на странице.
По словам исследователей, такой механизм потенциально даёт возможности читать содержимое страниц, похищать данные и выполнять действия от имени пользователя в личных аккаунтах, рабочих приложениях и административных панелях.
