باحث يكشف عن ثغرة أمنية “كارثية” في متصفح Arc

يحتوي Arc على ميزة تسمى Boosts والتي تتيح لك تخصيص أي موقع ويب باستخدام CSS وJavascript مخصصين. نظرًا لأن تشغيل Javascript التعسفي على مواقع الويب ينطوي على مخاوف أمنية محتملة، فقد اخترنا عدم جعل التعزيزات باستخدام Javascript المخصصة قابلة للمشاركة عبر الأعضاء، ولكننا مازلنا نقوم بمزامنتها مع خادمنا بحيث تكون التعزيزات الخاصة بك متاحة عبر الأجهزة.

نحن نستخدم Firebase كواجهة خلفية لبعض ميزات Arc (المزيد حول هذا أدناه)، ونستخدمه لمواصلة التعزيزات لكل من المشاركة والمزامنة عبر الأجهزة. لسوء الحظ، تم تكوين قوائم Firebase ACL (قوائم التحكم في الوصول، وهي الطريقة التي يؤمن بها Firebase نقاط النهاية) بشكل خاطئ، مما سمح للمستخدمين بطلبات Firebase لتغيير معرف منشئ Boost بعد إنشائه. سمح هذا بتعيين أي Boost لأي مستخدم (شريطة أن يكون لديك معرف المستخدم الخاص به)، وبالتالي تنشيطه لهم، مما يؤدي إلى تشغيل CSS أو JS مخصص على موقع الويب الذي كان التعزيز نشطًا عليه.