De populaire browserextensie Grammarly heeft een lek gedicht dat websites in staat stelde gegevens zoals documenten en logbestanden uit te lezen. De extensie controleert grammatica en spelling. Het lek is gevonden door Google-onderzoeker Tavis Ormandy.
In zijn rapport, dat nu openbaar is, schrijft Ormandy dat Grammarly ongeveer 22 miljoen gebruikers heeft. Hij ontdekte dat de plug-in authenticatietokens blootstelde aan alle websites, waardoor een kwaadwillende als een bepaalde gebruiker kon inloggen bij de dienst. Als die gebruiker bijvoorbeeld bestanden had opgeslagen in de online editor van Grammarly, dan had de aanvaller hiertoe toegang. Ormandy noemt ook toegang tot de geschiedenis en logbestanden.
De Google onderzoeker merkt verder op dat het Grammarly-team zijn melding binnen enkele uren heeft opgepakt en met een oplossing voor de Chrome-versie van de extensie kwam. Kort daarna kwam er ook een update voor de Firefox-variant. Ormandy noemt dit een 'indrukwekkende responstijd'. Grammarly laat aan The Register weten niet op de hoogte te zijn van misbruik van de kwetsbaarheid en dat gebruikers geen actie hoeven te ondernemen.
Ormandy vindt vaker kwetsbaarheden in software van derden. Recentelijk richtte hij zich op zogenaamde dns rebinding-aanvallen, die hij vond in bittorrentclient Transmission en de Blizzard-updater.