Vulnerabilità · 115 giorni fa
L’assunto che un browser mod sia innocuo se non esegue JavaScript o non chiede permessi non regge. In Opera GX, il meccanismo di installazione del mod poteva essere attivato in silenzio da un sito malevolo, e il CSS del mod finiva per toccare ogni pagina aperta: così una funzione di personalizzazione diventava un canale di esfiltrazione persistente tra siti diversi.
Opera ha corretto il problema in Opera GX 130.0.5847.89 e dice di non aver trovato segni di sfruttamento in the wild. I ricercatori hanno mostrato che, con una sola visita e senza click, era possibile ricostruire l’indirizzo Gmail di un utente già autenticato, perché il mod poteva verificare indizi minimi nella pagina e far partire richieste verso un server esterno solo quando la supposizione era corretta.
Per chi usa Opera GX per accedere a webmail o ad app sensibili, il punto non è il mod in sé ma la fiducia nel canale che lo porta nel browser. Se la versione non è quella corretta, una semplice visita a un sito può lasciare aperta una perdita di dati che continua anche sulle sessioni successive.
2 fonti che coprono questa storia
Opera GX Flaw Let Sites Auto-Install Mods to Steal Data
Opera GX flaw let sites automatically install mods to steal data from other pages, now patched
Opera GX Flaw Let Malicious Sites Auto-Install Mods to Steal Data From Visited Pages
Opera GX patched a flaw that let malicious sites silently install GX Mods and leak a signed-in user’s Gmail address with CSS.
Part of the PlainSec briefing for 2026-07-06