L’assunto che un browser mod sia innocuo se non esegue JavaScript o non chiede permessi non regge. In Opera GX, il meccanismo di installazione del mod poteva essere attivato in silenzio da un sito malevolo, e il CSS del mod finiva per toccare ogni pagina aperta: così una funzione di personalizzazione diventava un canale di esfiltrazione persistente tra siti diversi.
Opera ha corretto il problema in Opera GX 130.0.5847.89 e dice di non aver trovato segni di sfruttamento in the wild. I ricercatori hanno mostrato che, con una sola visita e senza click, era possibile ricostruire l’indirizzo Gmail di un utente già autenticato, perché il mod poteva verificare indizi minimi nella pagina e far partire richieste verso un server esterno solo quando la supposizione era corretta.
Per chi usa Opera GX per accedere a webmail o ad app sensibili, il punto non è il mod in sé ma la fiducia nel canale che lo porta nel browser. Se la versione non è quella corretta, una semplice visita a un sito può lasciare aperta una perdita di dati che continua anche sulle sessioni successive.