Firefox 1.0.3の穴

security

　メディアによって、えらく温度差がありますね。

しかしこれって、無制限に任意のサイトから拡張を導入できるようにしているか、あるいは拡張導入許可済みサイトが改竄される or DNSスプーフィングを喰らうかしない限り、「クライアントサイドでの任意コード実行」にはならないのではないの? と言うてる間に/.Jに適切なコメントがアップされてました。なるほど、こういうことか。1.0.4リリースまでは拡張のインストールを切っておいた方が無難っぽい。