公布日期：2026-06-30 發布單位： 資訊科  
用於阻擋廣告的瀏覽器擴充套件，由於具備較一般擴充套件更大的權限，一旦相關功能遭到濫用，也將帶來更嚴重的風險。資安廠商Island近日發布報告，指出Chrome網站商店上安裝量逾1,100 萬次的廣告攔截擴充套件Adblock for YouTube，具備攻擊者透過控制伺服器端，在用戶端執行JavaScript程式碼的風險，可能導致攻擊者藉此存取用戶敏感資料、甚至冒用帳號等惡意行為。

Island研究人員指出，Adblock for YouTube的用途，是專用於阻擋YouTube影音平臺上的廣告，但實際上該擴充套件並未檢查主機名稱是否確實為youtube.com平臺，攻擊者只要在網站URL網址上加入youtube.com字串，例如bank.example.com/search?q=youtube.com，就能讓擴充套件在各類網站上運作。

更進一步，攻擊者只要修改Adblock伺服器端的設定，即可利用擴充套件內建的JavaScript程式碼庫，在用戶瀏覽器執行任意JavaScript程式碼，進而存取用戶端敏感資料，或其他惡意行為。

針對前述問題，該擴充套件開發商AdBlock迄今仍未發表任何公開回應，經資安媒體The Hacker News詢問，該公司創辦人才表示將著手修復，包括確實驗證YouTube主機名稱，並確保伺服器端配置無法在用戶端頁面注入可執行程式碼。

資料來源：itHome