Fix: Harden hover summary trust boundary in Chrome extension to prevent SSRF and sensitive info leakage

[security] fix(extension): harden hover summary trust boundary #218 漏洞概述 该漏洞涉及 Chrome 扩展程序中的“悬停摘要”（hover summary）功能。攻击者可以通过合成鼠标事件或构造特定的 URL，利用扩展程序后台工作器（privileged background worker）的权限，对本地主机（localhost）、内网地址或私有字面量主机发起认证请求，从而泄露敏感信息。 影响范围 受影响组件：Chrome 扩展程序的 功能。 攻击向量： 1. 合成事件：恶意网页通过 JavaScript 触发 事件，诱导扩展程序发起请求。 2. URL 欺骗：恶意网页提供指向本地或内网资源的链接，诱导用户悬停。 严重程度：Low（低）。 CVSS 评分：3.1 (Low)。 利用条件： 用户必须安装并配置了扩展程序。 用户必须启用了悬停摘要功能。 用户必须与攻击者控制的页面内容进行交互（悬停）。 攻击者无法直接获取 daemon token 或执行代码，主要风险是机密性泄露。 修复方案 1. 信任边界加固： 扩展程序的后台工作器不再信任内容脚本（content script）提供的 URL。 后台工作器独立验证 URL，仅允许公共 HTTPS 目标（如 , , , 等），拒绝其他本地或私有字面量主机。 2. 事件源验证： 内容脚本仅调度由浏览器信任的鼠标事件（ ）。 过滤掉由 JavaScript 合成的非受信任事件。 3. 回归测试： 增加针对合成事件拒绝、受信任事件接受、公共 URL 允许以及非 HTTPS 拒绝的回归测试。 代码变更与 POC 逻辑 修复涉及以下文件的变更： 利用逻辑（POC 描述）： 修复后的行为： 内容脚本应要求真实的浏览器事件，而不是将页面活动视为用户悬停。 后台工作器应强制执行其自己的 URL 边界，因为它持有并应用 daemon token。

Goal Reached Thanks to every supporter — we hit 100%!

Fix: Harden hover summary trust boundary in Chrome extension to prevent SSRF and sensitive info leakage

More from this source