Twitch Enhanced Viewer | JeeBot uzantısının OAuth token sızıntısı, geliştirici güncelleme yayınladı
30 000 civarı Chrome ve 600 Firefox kullanıcısının tercih ettiği Twitch Enhanced Viewer | JeeBot uzantısı, kullanıcıların OAuth tokenlarını Rusya‑sahibli proxy sunucularına gönderirken, sadece on Rus yayıncının kanallarını istisna tutuyordu; geliştirici hatayı düzelten 85.8.7 sürümünü yayımladı ve kullanıcıların tokenlarını iptal etmeleri...
Güvenlik araştırmacısı Socket, Chrome ve Firefox için sunulan “Twitch Enhanced Viewer | JeeBot” uzantısının, izlenen kanalların video akış listelerini kendi proxy sunucuları üzerinden getirirken kullanıcıların OAuth tokenlarını da URL içinde gönderdiğini ortaya koydu. Uzantının yaklaşık 31 000 Chrome ve 600 Firefox kullanıcısı bulunuyor.
Uzantı, Chrome Web Store’da “kalite, rahatlık ve kontrol arayan yayıncı ve izleyiciler için modern bir araç” olarak tanıtılıyor; 2K çözünürlükte izleme, banner reklamları gizleme ve etkileşimi kolaylaştıran bir yapay zeka botu gibi özellikler sunduğu belirtiliyor. Socket’in incelemesine göre, tokenlar her kanal için “&auth=” parametresi olarak ağ‑katmanı yönlendirmesinde proxy’ye iletiliyordu. Ancak, Rusya‑menşeli on yayıncının kanallarına ait oturumlar sabit bir beyaz listede yer alıyor ve bu kanallar için token iletimi gerçekleşmiyordu.
Uzantının geliştiricisi HISHIMIRO (jeetbot.cc), bu durumun sorumluluk bilinciyle ele alındığını ve sorunu gidermek amacıyla Firefox için 85.8.7 sürümünü yayımladığını duyurdu; Chrome sürümü ise hâlâ inceleme aşamasında. Yeni sürümde, akış listeleri alınırken tokenların proxy’ye gönderilmediği belirtiliyor. Uzantıyı hâlâ kullananların, olası güvenlik riskine karşı Twitch hesap ayarlarından OAuth tokenlarını iptal etmeleri ve yeni sürümü aktif hâle getirmeleri öneriliyor.
Bu gelişme, tarayıcı uzantılarının arka planda veri toplama potansiyelini bir kez daha gözler önüne sererken, geliştiricilerin sorumlu açıklama ve düzeltme süreçlerinin önemini vurguluyor..