Neni, ale existence PDF exploitu, ktery pocita s Acrobatem bezicim pod Wine, je vzhledem k znacne nizkemu vyskytu takove kombinace velmi nepravdepodobna. Tech 1,5 %, co ma Linux na desktopu, vetsinou nikomu nestoji za tu praci a z toho jen zlomek by melo Acrobat pod Wine, coz to cini jeste mene zajimavym. Takze kdyz se Wine nastavi pristup k disku tak, aby nemohlo ven z .wine/drive_c, je riziko asi dost male. A kdybych byl paranoidni, muzu to pustit pod jinym uzivatelem, ktery nesmi cist data z meho ~.
Je uplne jedno jestli pouzivam deravej js kram nebo deravou binarku. Ta derava binarka mi pak nezasira ram kdyz browsim po webu, je asi tak 1000x rychlejsi a predevsim korektne zobrazi 100% pdf. JS kram neumi zobrazit pdf s delenyma znakama (ta zminena rozesrana diaktirika), neumi formulare ... a i spousta pomerne nevinych konstrukci se rozpada. Jako bonus deravej js bezi furt.
Napad umoznit spustit prakticky libovolny kod za ucelem prohlizeni weboveho obsahu je blaznovstvi a nekoncepcni reseni, ktere si vybira a bude vybirat svou dan. Dokud nedojde k navratu k fixni sade pravidel a parametru, jen treba uplnejsi a konzistentnejsi nez soucasne HTML5/CSS3, tak tu bude tohle zvysene a IMHO zbytecne bezpecnostni riziko existovat.
JS je tak akorat dobry pro agresivnejsi vnucovani reklamy, sireni malware, zatezovani procesoru a obchazeni neznalosti a neschopnosti webdesigneru. Tech stranek kde by si neslo vystacit s CSS by se dalo spocitat na prstech jedne ruky.
Počítat ano. Ale skutečně je dobrý nápad, aby browser fungoval na principu "celý web je aplikace, těch pár výjimek si může uživatel blacklistovat"? Já bych třeba řekl, že těch aplikací je relativně málo, takže by byl zcela ospravedlnitelný opačný přístup ("všechny skripty zakážeme, povolíme je na několika málo známých stránkách a zbytek ať si uživatel whitelistuje - dáme mu na to do UI snadno přístupné tlačítko, které může třeba zablikat, pokud kód webové stránky obsahuje skript"). Pokud má tvůrce browseru takový strach, aby náhodou uživatele od něčeho neodřízl, ať výchozí hodnotu zapnutí/vypnutí skriptu dá do antimalware filtru, který už je stejně všude defaultně aktivovaný...
Spis bych uvital moznos povypinat/fakovat konkretni kusy API. Tzn bud by proste konkretni vec nebyla dostupna vubec nebo by posilala nahodny kraviny.
BTW: Nosrtipt mam defaultne zapnutej, a nijak zvlast me to neomezuje. Kdyz cas od casu narazim na nejakou zhuverilost, ktera nefunguje bez js vubec, tak du proste o dum dal.