‏سرقت توکن گیت‌هاب فقط با یه کلیک روی لینک

نویسنده نشون می‌ده که فقط با کلیک روی یه لینک، یه مهاجم می‌تونه توکن گیت‌هاب قربانی رو بدزده؛ توکنی که اجازهٔ خوندن و حتی نوشتن روی همهٔ مخزن‌ها، از جمله مخزن‌های خصوصی، رو داره. این حمله از طریق github.dev انجام می‌شه؛ همون نسخهٔ سبک VS Code که کامل تو مرورگر اجرا می‌شه.

ریشهٔ مشکل تو مدل امنیتی webviewهای VS Code‌ـه. این webviewها داخل یه iframe با مبدأ (origin) جدا اجرا می‌شن تا کد ناامن داخلشون منزوی بمونه، ولی برای اینکه کلیدهای میان‌بر کاربر کار کنه، رویدادهای کیبورد از داخل webview با پیامی به اسم did-keydown به پنجرهٔ اصلی VS Code فرستاده می‌شه.