Een onderzoeker is erin geslaagd om de populaire Firefox-uitbreiding NoScript te omzeilen door gebruik van de Google cloud te maken. NoScript is een extensie die JavaScript en andere code op websites kan blokkeren. Het voorkomt hiermee dat kwaadaardige code op een gehackte website kan worden gestart of dat advertenties, trackers en actieve content automatisch worden geladen.

De add-on beschermt zowel de veiligheid als privacy van gebruikers. Ruim 2,2 miljoen Firefoxgebruikers hebben NoScript geïnstalleerd, waarmee het één van de populairste uitbreidingen voor Firefox is. NoScript biedt gebruikers ook de mogelijkheid om domeinen op een whitelist te zetten. Scripts op dit domein zullen dan wel automatisch worden uitgevoerd. Een aantal domeinen staan standaard al op de whitelist van NoScript, zoals die van Mozilla, YouTube, Google en Yahoo.

Het gaat hierbij niet alleen om de domeinen, maar ook de subdomeinen die onder het domein vallen. Naast google.com worden ook scripts op voorbeeld.google.com automatisch door NoScript toegelaten. Recentelijk ontdekte onderzoeker Matthew Bryant dat één van de domeinen die op de whitelist van NoScript stond was verlopen en dus voor iedereen beschikbaar was. Bryant registreerde het domein en plaatste hier JavaScriptcode op, die automatisch door NoScript werd uitgevoerd. De ontwikkelaar van NoScript kwam met een update zodat het domein uit de standaard whitelist werd verwijderd.

De publicatie van Bryant spoorde een andere onderzoeker aan om naar een nieuwe mogelijkheid te zoeken, aangezien ook subdomeinen van gewhiteliste domeinen als aanvalsvector voor een aanval kunnen worden gebruikt. Onderzoeker Linus Sarud zag dat het domein googleapis.com standaard op de whitelist staat, wat inhoudt dat scriptcode op storage.googleapis.com hierdoor standaard wordt uitgevoerd. Via dit domein kunnen gebruikers bestanden hosten als ze de Google cloudopslag gebruiken. Een andere onderzoeker genaamd Mathias Karlsson werkte het idee uit en kwam met code waarmee NoScript weer werd omzeild.

Het probleem is inmiddels verholpen door het domein googleapis.com op de whitelist te veranderen in ajax.googleapis.com. Subdomeinen worden echter nog steeds automatisch gewhitelist. Gebruikers van NoScript kunnen de standaard whitelist echter verwijderen en alleen eigen domeinen hierop plaatsen.