关键信息 漏洞标题: Automation API leaks tab URLs 问题ID: Chromium > UI > Accessibility 40085155 类别: Verified, Vulnerability, P1 报告人: ja...@googlemail.com 类型: Vulnerability 优先级: P1 严重性: S2 状态: Fixed (Verified) 漏洞描述 UserAgent Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/52.0.2743.116 Safari/537.36 复现步骤 1. 打开源码开发分支，Automation API 不在稳定版中。 2. 打开一些带有秘密 URL 的标签页。 3. 解压并加载附带的扩展程序。 4. 等待几秒钟出现 alert()。 5. 确认扩展程序没有请求任何在 UI 中可见的权限。 问题 在带有所有标签页 URL 的 alert() 窗口中会看到错误信息。问题是，错误信息中包含指定标签页的 URL，而这个 URL 通常只会在具有权限的扩展程序中显示。 代码片段 期望行为 未说明。 出错位置 未说明。