Добрый день.
Судя по логам фаервола, для скачивания обновлений плагинов и самого приложения используется http протокол. Судя по описанию Plugin updater, при установке обновлений проверяется хеш (не цифровая подпись), который предоставляет сервер по, опять же, http протоколу.
Нет ли здесь существенной угрозы безопасности? На мой взгляд, это классическая MITM уязвимость. Злоумышленник может подменить обновления на произвольный код, просто контролируя сеть клиента (к примеру: общественная wi-fi сеть созданная злоумышленником; взлом уязвимой версии wi-fi; уязвимый роутер у клиента; злоумышленник на стороне провайдера и т.п.)
Уважаемые разработчики, будет ли исправлена данная уязвимость? Или, может быть, осуществляется какая-то дополнительная недокументированная проверка подлинности?
