Google浏览器AVG Web TuneUp插件XSS漏洞

今年8月15日, 来自project zero的成员Tavis提交了谷歌浏览器插件 AVG Web TuneUp的多个漏洞，由于该插件活跃用户约900万，所以影响范围非常广。 这个插件添加了很多的api用来操作谷歌浏览器，比如可以轻易的劫持搜索框和新标签页。而由于其安装过程十分复杂，所以能够逃避谷歌恶意软件的检查，特别是能够逃避谷歌浏览器“阻止滥用扩展的API”的检查。 事实上其中的很多api是有问题的，攻击者可以通过构造payload成功盗取用户在avg.com上的cookie，还可以获取用户的浏览记录以及其他的私人数据，甚至有可能成功实施任意命令执行。 攻击手法：...

Google browser plug-in AVG Web TuneUp aeration multiple high-risk vulnerabilities, affect 9 0 0 million users-vulnerability warning-the black bar safety net

This year 8 month 1 5 days, from project zero members Tavis submit a Google browser plug-in AVG Web TuneUp multiple vulnerabilities, since the plug-in active users of about 9 0 0 million, so the impact range is very wide. This plugin adds a lot of api used to operate Google Chrome, for example, c...