Позволяет ли Firefox расширениям обходить CSP обычной веб-страницы?

Question

У меня есть веб-страница с CSP, например: <meta http-equiv="Content-Security-Policy" content="script-src 'self' https://d2wy8f7a9ursnm.cloudfront.net https://cdn.polyfill.io https://browser-update.org https://static.zdassets.com https://ekr.zdassets.com https://mysite.zendesk.com wss://mysite.zendesk.com https://*.zopim.com https://*.googleapis.com 'unsafe-inline' 'unsafe-eval'">

Из соображений конфиденциальности в этом посте я заменил название моей компании на mysite.Также обратите внимание, что использование unsafe-eval связано с тем, что у меня есть какой-то устаревший код, который требует его для создания шаблонов.

Мой сайт включает мониторинг ошибок Bugsnag, и я обнаружил определенную ошибку для пользователя, в которой хлебные крошки показывают XmlHttpRequestзвонки на подозрительные домены, похожие на рекламное и / или вредоносное ПО.Существует также некоторая строка журнала консоли «swbtest загружен».

Хотя возможно, что пользователь отключил настройку Firefox security.csp.enable, я нахожу это крайне маловероятным.Этот пользователь - клиент, с которым я писал по электронной почте, и он не похож на тип для этого.

Мои вопросы: (1) Похоже ли это на расширение / плагин Firefox?(2) Если так, как это обходить мой CSP?Или unsafe-eval разрешает доступ к расширениям?(3) Поможет ли добавить правило connect-src для CSP?

Спасибо.

Answer 1

Расширения не заботятся о странице CSP вообще.Они могут запускать код рядом с вашим кодом (если они не связаны с CSP страницы) или вставлять произвольный код в контекст JavaScript страницы.

Кроме того, расширения имеют достаточно возможностей для переопределения CSP страницы на лету (например, переписывая заголовки ответа), но они обычно не нуждаются в этом.

Вы, автор сайта, ничего не можете сделать, чтобы не допустить вмешательства расширений в вашу страницу.

К сожалению, этоозначает «шум» в получаемых вами отчетах.

Следует отметить, что «swbtest», по-видимому, относится к комплекту автоматизации / тестирования браузера Selenium.