以防有人不了解，书签小程序漏洞已经存在多年了，你实际上是在浏览器窗口上运行任意 JavaScript 代码，它可以窃取当前打开标签页上的任何易受攻击的信息。 如果你这样做，就假设你点击的是一个 virus.exe 文件

据我所知，它仅限于当前打开的标签页，并且无法访问扩展程序。 但如果你使用的是像 Axiom 这样的网页终端，并且尝试使用需要你拖拽书签的“炫酷 Axiom 狙击插件”，那么你肯定会被坑。