Post #1007

🕵️‍♂️ Разбор: что скрывает VK Styles? Мы заглянули под капот популярного расширения и нашли несколько крайне интересных и спорных функций, работающих без ведома пользователя. 📢При использовании расширения вы гарантированно будете видеть посты его сообщества в ленте: • Расширение принудительно подписывает на свою группу после установки расширения. • Если вы вручную скрыли новости их группы из ленты — расширение вернёт их обратно при перезагрузке страницы. • При каждой загрузке страницы есть шанс 25%, что расширение принудительно включит уведомления от сообщества. ⚙️Принудительное изменение настроек аккаунта: • Выключает умную ленту (меняет порядок постов на хронологический). • Отключает автовоспроизведение видео. • Отключает автовоспроизведение GIF. • Включает отображение сообщений в виде строк в мессенджере. • Отключает отображение «Интересное» в историях. 💣 В коде найден механизм так называемых "хотфиксов", который по сути является бэкдором: • Расширение скачивает JavaScript-код с внешнего сайта github.com/2vk/- • Ссылка на репозиторий спрятана в описании закрытой группы vk.ru/club47668006. Это позволяет разработчику в любой момент изменить источник кода. • Код исполняется через конструктор Function, аналог eval. • Это прямой обход главного запрета Manifest V3 на исполнение удаленного кода. Что именно скрипт сделает при следующей перезагрузке страницы — неизвестно. 👀Ещё из интересного: • Расширение проверяет заблокированы ли вы в его паблике. Если да, то расширение полностью отключается. Привет, VK Coffee!) 🔗 Подробный анализ от Gemini 3 Pro с ссылками на код:https://gemini.google.com/share/c429bd568575 Сервис для просмотра и скачивания кода расширения: https://crxviewer.com/?crx=https://chrome.google.com/webstore/detail/ceibjdigmfbbgcpkkdpmjokkokklodmc Этот пост — ответ на ваши частые просьбы исправить конфликт расширений. Позиция VK Next строится на честности и свободе выбора: все наши функции опциональны, вы сами решаете, что включить, а что выключить. Мы не заставляем вас подписываться на группы, не меняем настройки без ведома пользователя, не используем удаленный код. Мы не станем адаптировать наш продукт под расширение, использующее бэкдоры (RCE) и спам-механики. Любая адаптация под него стала бы негласным одобрением и рекламой небезопасного расширения. Использовать это расширение или отказаться от него — исключительно ваше решение. Мы не даём рекомендаций и ни к чему не призываем, а лишь разъясняем нашу позицию и отвечаем на просьбы.