🌕 透過 VSCode 漏洞實現「一鍵式」GitHub 權杖竊取
➤ 當「貼心」的 UX 設計成為資安防線的破口
https://blog.ammaraskar.com/github-token-stealing/
本文揭露了 VSCode Webview 沙盒環境中的一個關鍵安全漏洞。由於 VSCode 為了提升用戶體驗,設計了一套機制將 Webview 內的鍵盤事件向上傳遞至主視窗,導致攻擊者能夠透過惡意腳本模擬按鍵輸入。這使得攻擊者可以誘騙使用者執行敏感操作,例如觸發特定通知並自動確認,進而竊取擁有完整 GitHub 存取權限的 OAuth 權杖。這篇文章提醒開發者,在處理跨來源(cross-origin)通訊時,即使是為了優化 UI 體驗的功能,也可能成為繞過沙盒防禦的破口。
+ 這實在太驚人了!我一直以為 Webview 是完全隔離的,沒想到為了讓鍵盤快捷鍵能跨視窗運作,竟然留下了這麼大的後門。以後點擊任何包含 Webview 的連結都得小心了。
+ 此文深入淺出,將複雜的 Chromium 沙盒機制與攻擊路徑
#資訊安全 #VSCode #Webview #漏洞分析
1-Click GitHub Token Stealing via a VSCode Bug

My blog, mostly about programming

Ammar's Blog

Миссия выполнима: Как подружить Max и E2E

Это статья про небольшой хобби-проект, или как написать очень легковесный клиент для любого приложения с нуля. Идея зародилась, когда весь этот цирк только начинался. Прогревали новый ГОС Т -мессенджер, поливали его чем только можно. В какой-то момент проскочила новость: В Max нет сквозного шифрования ... И тут зародилась глупая идея: почему бы самому не прикрутить к нему разные функции анонимности и шифрования? Уровень конечно совсем не тот, что у Telegram и Signal, но сама возможность скрыть содержание переписки завораживает, разве нет?! Спойлер: APK весит 11 МБ против 120 МБ у официального, не греет телефон и показывает каждый запрос к серверам ok[.]ru и vk[.]ru

https://habr.com/ru/articles/1042848/

#rust #tauri #webview #svelte #e2e #android #secure_messaging #mobile_development

Миссия выполнима: Как подружить Max и E2E

Это статья про небольшой хобби-проект, или как написать очень легковесный клиент для любого приложения с нуля. Идея зародилась, когда весь этот цирк только начинался. Прогревали новый ГОС Т...

Хабр
What the....?
My #Nextcloud Calendar will no longer accept non 0 or 5 values for time.
The picker just offers no other values, and setting the time by hand will reset to the nearest 10.
This has to be a joke.

My train leaves at 11:28. Are you f*ing kidding me? 🤨

(Yes, it's "only" a #webview issue, I can still set correct values via my phone. I know I am fossil, thank you.)

Google “Web view” aka “&udm=14” (màj)

Comment forcer dans le navigateur Firefox (ou Chrome), l’affichage “Web view” des résultats de recherche Google avec le paramètre “&udm=14”.

https://www.didiermary.fr/google-web-view-firefox-udm-14/

#Google #IA #Search #Web #WebView #UDM14

Я хотел adjustResize. Получил adjustNothing. Три раунда войны с Android-клавиатурой в WebView

Я юрист. Я не должен был знать слово adjustResize . Сейчас оно мне снится. Это история про три недели борьбы с Android-клавиатурой в WebView, про MutationObserver , который я призвал и пожалел, и про то, как настоящее решение оказалось не там, где я искал. Если у вас в приложении WebView и формы с инпутами — возможно, я сэкономлю вам неделю. Три недели войны с клавиатурой

https://habr.com/ru/articles/1034290/

#flutter #webview #android #клавиатура #softInputMode #bottom_sheet #mutationobserver #mobile_development #солоразработчик #личный_опыт

Я хотел adjustResize. Получил adjustNothing. Три раунда войны с Android-клавиатурой в WebView

Я юрист. Я не должен был знать слово adjustResize . Сейчас оно мне снится. Это история про три недели борьбы с Android-клавиатурой в WebView, про MutationObserver , который я призвал и пожалел, и про...

Хабр

MacでTeamsを開いているだけなのに、Microsoft Teams WebView や WebView Helper がCPUを100%超えで使い続けるケースについてまとめました。

原因として多いのは、Teamsのキャッシュ破損・UI描画の暴走・アップデート直後の不具合・会議機能の後処理など。

まずは「Teamsの完全終了 → キャッシュ削除 → 更新確認」の順で試すのが現実的です。同じ症状でMacが重い方の参考になれば。

https://chun-log.jp/macos-teams-webview-high-cpu/?utm_source=mastodon&utm_medium=social&utm_campaign=post

#macOS #MicrosoftTeams #Teams #WebView #CPU使用率 #Mac #トラブルシューティング #キャッシュ

TeamsのWebViewがCPU 100%超え!Mac向け解決策

MacでMicrosoft Teams WebViewやWebView HelperがCPU 100%超えになる原因と解決策を優先順に解説。キャッシュ削除・再インストールの具体的な手順も紹介します。

ちゅんろぐ

WebSpace - безопасный WebView-менеджер

https://github.com/theoden8/webspace_app

Создаёте свой webspace, в нем набор вкладок. Вот они-то и заменят разжиревшие приложения с кучей мутных трекеров.

Каждая вкладка — веб-страница, отрендеренная в компоненте WebView. Не то же самое что PWA-приложения, но вполне себе юзабельно и настраиваемой безопасностью.

https://f-droid.org/packages/org.codeberg.theoden8.webspace/

#webspace #webview #android #security #privacy #fdroid

There still isn't good webview library for Linux and Wayland. One such should support:

- Top Level Windows
- Child Windows
- Layer Surfaces
- Popup Surfaces
- Subsurfaces
- IME Panel Surfaces
- Ability to run in background (e.g. without any visible windows open)

#Wayland #Linux #Webview

Why is there no Firefox webview API? That is what I would like to have in Linux.

#Linux #Wayland #Webview #Firefox

Куда пропали наши лиды в Telegram Ads? Реверс-инжиниринг Mini Apps, слепая зона на €8300 и проброс сессий через Redis

Заливаете бюджет в Telegram Ads, а веб-аналитика показывает сплошной direct? Проблема не в трекере и не в криво настроенной кампании. Клиент мессенджера физически отрезает UTM-метки на этапе инициализации Mini App. В этой статье мы проводим реверс-инжиниринг контейнера WebView, разбираем смерть заголовка HTTP Referer на примере ecom-кейса со слепой зоной на €8300 и показываем, как собрать независимую архитектуру проброса сессий на базе Redis и CloudStorage Bot API 9.x. Смотреть логи и решение

https://habr.com/ru/articles/1010600/

#telegram_ads #telegram_mini_apps #сквозная_аналитика #utmметки #атрибуция_трафика #реверсинжиниринг #webview #redis #bot_api

Куда пропали наши лиды в Telegram Ads? Реверс-инжиниринг Mini Apps, слепая зона на €8300 и проброс сессий через Redis

Я стараюсь писать часто, практически каждый день, но кое-что меня сломало. Я ушел в жесткий дебаггинг и реверс-инжиниринг. В недавнем ecom-проекте мы залили в Telegram Ads вполне осязаемый бюджет, и...

Хабр