关键信息汇总 漏洞描述 CSP script-src 'none': 允许 在Firefox中执行JavaScript代码，但在Firefox开发人员版中正常工作。 影响的浏览器版本 Firefox版本: - Firefox 68: 不受影响 - Firefox 69: 不受影响 - Firefox 70: 已修复 - Firefox 71: 已修复 修复状态 状态: 已解决并修复 (RESOLVED FIXED) 修复时间: Firefox 70和Firefox 71 修复补丁 关联漏洞: Bug 1555043 补丁修复了Firefox 70中的问题，并确认Firefox 69受到影响，68及之前版本不受影响，70和71已修复。 附件与测试用例 报告文件: report.zip、report-comment.zip 测试用例: testcase_default-src_'none'.html、testcase_default-src_data.html 说明: 附件包含漏洞的报告、评论和测试用例，演示该漏洞如何被利用。 漏洞标识 CVE编号: CVE-2019-17001 已关联安全漏洞: 并未再与其他CVE直接关联，但与Firefox内核其他安全修复有关联。 注释讨论 报告人在CTF中发现可以利用CSP策略中的script-src 'none'策略漏洞，通过 标签执行JavaScript代码，包括窃取用户Cookie。除此之外，报告中提到Firefox开发团队对CSP实现结构的调整导致了这一特定漏洞。