Расширение для Twitch передавало OAuth-токены почти 31 тыс. пользователей
По данным исследователя Socket, Twitch Enhanced Viewer | JeetBot отправляло токены активных сессий через прокси-инфраструктуру оператора. Разработчик сообщил об исправлении для Firefox и рекомендовал пользователям обновить или временно отключить расширение.
Расширение Twitch Enhanced Viewer | JeetBot для Chrome и Firefox передавало OAuth-токены Twitch почти 31 тыс. пользователей на прокси-серверы, которые контролирует оператор сервиса JeetBot. Об этом сообщил исследователь компании Socket Куш Пандья; на публикацию обратил внимание The Hacker News.
Расширение заявляет, что расширяет возможности Twitch, в том числе позволяет смотреть трансляции в 1080p в регионах с ограничениями. Для получения видеоплейлистов оно перенаправляло запросы к Twitch через собственные прокси и добавляло OAuth-токен пользователя в параметр URL `auth`.
По оценке Socket, токен передавался при просмотре любого канала, кроме жёстко заданного списка из десяти российских стримерских каналов. Поскольку токен попадал в строку запроса, он мог сохраняться в открытом виде в журналах запросов прокси-сервера.
OAuth-токен действующей сессии позволяет совершать действия от имени пользователя без пароля или второго фактора: в частности, читать и отправлять личные сообщения, писать в чат и тратить баллы канала. В Socket также указали, что сведения о такой передаче токенов не были раскрыты в карточках расширения в магазинах.
В Chrome Web Store расширение опубликовано с 26 июня 2025 года и указано как установленное 30 тыс. пользователями. Версия для Firefox, размещённая 7 июля 2025 года, насчитывает 604 пользователя. На момент публикации The Hacker News оба расширения всё ещё были доступны для загрузки.
В документации JeetBot появилось предупреждение, согласно которому Firefox-версия 85.8.7 больше не отправляет OAuth-токен пользователя на прокси. Эквивалентная версия для Chrome, как утверждает разработчик, находилась на проверке. Пользователям старых версий предложено обновить расширение либо временно отключить его, чтобы прекратить дальнейшую передачу токена.
При этом отключение или обновление расширения не отзывает токены, которые уже были переданы ранее. Исследователи также сообщили, что в более ранних сборках линейки 4.x токены отправлялись POST-запросом на отдельный endpoint оператора, а в качестве резервных адресов использовались домены deno.dev и deno.net.