La extensión Twitch Enhanced Viewer | JeetBot, disponible en tiendas oficiales de Chrome y Firefox, reenviaba tokens OAuth de sesión a proxies controlados por su operador. Con esos tokens, un tercero puede secuestrar cuentas sin contraseña ni segundo factor, por lo que conviene desinstalarla y revocar sesiones.
Una extensión de navegador usada para mejorar la experiencia en Twitch expuso credenciales de acceso de aproximadamente 31.000 personas al enviar sus tokens OAuth a infraestructura ajena. El problema afecta a Twitch Enhanced Viewer | JeetBot, que se distribuyó tanto en Chrome Web Store como en Mozilla Add-ons, un recordatorio incómodo de que incluso los catálogos ‘oficiales’ no blindan frente a riesgos de cadena de suministro.
La pieza clave son los tokens OAuth que usa Twitch para mantener una sesión autenticada. No funcionan como una simple referencia interna: actúan como credenciales bearer, es decir, quien los posee puede operar como si fuese el usuario. En la práctica, el abuso puede ir desde leer y enviar susurros hasta escribir en el chat o tocar ajustes vinculados a la cuenta, sin necesidad de conocer la contraseña ni superar un 2FA.
El comportamiento más delicado llegó con la rama v85.x. La extensión añadió el token como parámetro de consulta &auth= durante redirecciones a nivel de red hacia servidores proxy controlados por el operador. Al viajar dentro de una URL, el token podía quedar en texto claro en registros del proxy, lo que multiplica el riesgo si esos logs se consultan de forma indebida o acaban filtrándose.
El reenvío se aplicaba a prácticamente cualquier canal que el usuario abriese, con una excepción: una lista predeterminada de 10 canales. Desde la 85.8.4, además, la extensión permitía ajustar restricciones con el parámetro Channels with restrictions, lo que introduce un control aparente, pero no evita el problema de fondo: la exfiltración del token.
No era la primera vez que la extensión jugaba con este tipo de datos. Versiones anteriores v4.x llegaron a remitir el token mediante POST a un endpoint set-token del operador e incluso definieron endpoints de respaldo alojados en deno.dev y deno.net.
La corrección ya está disponible en Firefox a partir de la versión 85.8.7, que elimina el envío del token al cambiar el método de obtención de playlists. El desarrollador ha indicado que preparaba un parche equivalente para Chrome, aunque aquí hay un matiz importante: actualizar o desactivar frena la fuga a partir de ese momento, pero no invalida los tokens que ya salieron.
La recomendación para usuarios pasa por desinstalar o desactivar Twitch Enhanced Viewer | JeetBot de inmediato y, si se usa Firefox, actualizar como mínimo a 85.8.7. Después conviene cerrar todas las sesiones activas de Twitch desde la configuración de la cuenta y volver a autenticarse para forzar la rotación de sesiones. También merece la pena revisar actividad reciente, mensajes privados y acciones en chat en busca de uso no autorizado.
En organizaciones y equipos gestionados, este incidente encaja en un patrón clásico: extensiones con capacidad para interceptar o redirigir tráfico de servicios autenticados. Aquí la higiene básica es inventariar extensiones instaladas, bloquear por política los identificadores afectados, pnhhdhhcadcjfckjhpmjneldiegbojfb en Chrome y twitchenhancedviewer@example.com en Firefox, y priorizar listas de permitidos en navegadores corporativos. La comodidad no debería tener acceso ilimitado a una sesión.
Más información
- The Hacker News – Malicious Twitch Browser Extension Leaks OAuth Tokens From Nearly 31,000 Users : https://thehackernews.com/2026/09/malicious-twitch-browser-extension.html
- JeetBot Docs – Twitch Enhanced Viewer : https://docs.jeetbot.cc/en/base-stuff/extension/
- NEXSIGHT CYBER WIRE – Twitch視聴拡張機能「JeetBot」が3万人のOAuthトークンを窃取 — Socketが報告、ロシアのボット事業者の代理サーバーへ転送 : https://cyber.nexsight.co/articles/2026/09/12/socket-twitch-jeetbot-extension-oauth-token-theft-2026-09-12/
Deja una respuesta