Исходное сообщение
"В Firefox устранена критическая 0-day уязвимость в PDF.js" Отправлено Аноним, 07-Авг-15 19:43
> Почему преувеличены? Оно не позволяет выполнять произвольный код, например. Вообще-то как раз позволяет: JS который обходит разделение прав - пашет с правами процесса браузера. И потому способен шариться по всей системе и делать все что пожелает. И там вполне себе будет произвольный код на JS, вгруженный ремотой. Потому и критичная дыра, собссно. > В данном случае было лишь чтение пользовательских файлов. Нифига себе "лишь". Если на то пошло - сишная программа от лица непривилегированного пользователя может не сильно больше. Если кто не понял, проблема не в том на си оно или на JS, а в том что ремота может инициировать вредное для пользователя действие. А на каком это языке - дело десятое. Вон в BfW от питона в аддонах отказались, потому что там нельзя изолировать скрипт от системы. А аддон разламывающий пользователю систему - это не есть правильно. Вот они и перешли на Lua. Где прежде всего всякие там файловые операции и оторваны на корню, как наиболее проблемные.