「Chrome拡張機能のGet cookies.txt、スパイウェアに変貌」記事へのコメント

ローカルで完結する機能だよねえ

[Anonymous Coward]

ウェブブラウザに保存されてるcookieをテキストファイルとして抜き出す拡張だそうで。本来の用途からすると外部通信の必要のない拡張なので、マルウェア化するに当たってその辺りの権限が追加されてると思われる。それをレビュアーがスルーしていたとしたら、ザルにも程があるだろうなあ。

Re:ローカルで完結する機能だよねえ

[Anonymous Coward]

こっちの方で詳しくまとめられてるけど
https://qiita.com/rana_kualu/items/e50e33bbde229882da8d [qiita.com]
Manifest V3への対応との事
だけど外部に送信しなくても出来るようなので
作者がすっとぼけてるか､勘違いで実装してしまったっぽい
そもそも外部に安易に送信しては行けないものだから
勘違いでも相当駄目なんだが

Re:

[Anonymous Coward]

NurseAngel氏 [srad.jp]の記事じゃん。(タレコミ時点の)この記事見て書いたのかな?

Re:ローカルで完結する機能だよねえ

[NurseAngel (40269)]

私は直接氏のツイート [twitter.com]を見て書きましたよ。
(誰かのRTで回ってきた)

Re:

[Anonymous Coward]

事実かどうかは知らんが、

Chrome拡張機能は、Manifest V3に移行する必要があるのだが、そうすると拡張機能は他ドメインへの通信を傍受できなくなり、cookieを取得できなくなるっぽい。そこでGet cookies.txtは、自ドメインにcookieを送ることで回避するようにしたらしい。

だそうだ。

Re:

[Anonymous Coward]

事実か怪しいし間抜けな話だが、Manifest V3がセキュリティへの侵害のきっかけになった例の一つってことだな。
権限を厳しくすると何とかして回避しようとするのよね。
こういう事態を避けるためのManifest V3ってのも分かるけど。

クラウドサーバー使ってる場合はサーバーサイドのコードを第三者が検証できる仕組みがあればこういうやり方を安全に実現できるかもしれないなと思った。既にある？

Re:

[Anonymous Coward]

君ならそういうときどうする? 警告の一つでも置くと思うんだ。
ダウト。

Re:Re:

[Anonymous Coward]

ダウトもなにもプライバシーポリシーにしっかり書いてあるんだか

Re:

[Anonymous Coward]

俺や君がどう思ったかはこれの作者がどう思ったかとは特に関連性はないよ。