Vulnerabilità · 45 giorni fa
Socket ha confermato che l’estensione Twitch Enhanced Viewer | JeetBot ha inoltrato i token OAuth di circa 31.000 utenti a proxy controllati dall’operatore. Non si tratta più di un comportamento sospetto dell’add-on, ma di un furto attivo di credenziali bearer su account Twitch.
Il meccanismo è semplice e grave: l’estensione fa passare la richiesta video di Twitch attraverso il proprio proxy e ci aggancia il token dell’utente come parametro nell’URL. Quel token finisce nei log in chiaro e può essere riusato per chat, whisper e impostazioni dell’account senza password né 2FA.
Per chi usa estensioni che si mettono in mezzo al traffico di un servizio autenticato, il punto non è solo rimuovere il componente. Se il token è già stato copiato, la sessione resta utilizzabile finché token e sessioni non vengono revocati, e l’esposizione può sopravvivere alla disinstallazione dell’add-on.
4 fonti che coprono questa storia
Twitch extension with 30K installs exposes users’ OAuth tokens
A browser extension called Twitch Enhanced Viewer | JeetBot, available in the official Chrome and Firefox stores, sends users' Twitch OAuth session tokens to a commercial bot service.
Malicious Twitch Extension Exposes 31,000 Users' OAuth Tokens
Socket has discovered a Twitch browser extension forwarding users' OAuth tokens to a Russian bot service
Twitch Browser Extension Leaks OAuth Tokens From Nearly 31,000 Users
JeetBot's Twitch extension sent OAuth tokens from nearly 31,000 users to operator-controlled proxies; Firefox 85.8.7 stops the behavior.
Twitch Browser Extension Exposes 30,000 Users’ OAuth Tokens to Russian Bot Service
A Twitch browser extension on Chrome and Firefox forwards users’ live OAuth session tokens through proxies controlled by a Russian bot service.
Part of the PlainSec briefing for 2026-09-15