Arc 浏览器的漏洞可使用户访问网站时被植入任意代码（已解决）

[nagisaushio]

发现者解析： https://kibty.town/blog/arc/

官方： https://arc.net/blog/CVE-2024-45489-incident-response

HN： https://news.ycombinator.com/item?id=41597250

TL;DR

• Arc 允许用户为特定网站自定义 JS/CSS
• Arc 会将上述自定义内容同步到服务器
• Arc 使用 Firebase 储存上述内容，但是错配了 Firebase 的 ACL ，使得用户可以将自定义 JS/CSS 的 CreatorID 改成任意其他人
• 基于上一个漏洞，攻击者可以构造有问题的 JS 脚本，同步上传后更改其 CreatorID 为受害者的用户 ID ，从而将脚本同步到受害者电脑上，待受害者访问特定网站时便会执行

[googlefans]

没用过