Amok-Widgets [Update]

Wer mit Safari ein Widget heruntergeladen hat und das Öffnen von "sicheren" (das steht nicht umsonst in Anführungszeichen) Dateien zulässt, der findet dieses direkt in seinem Dashboard wieder. Zwar muss es dort erst per Klick aktiviert werden und man wird knapp gewarnt, bzw. gefragt, ob man das Widget wirklich starten/laufen lassen will, aber viel fehlt an dieser Stelle nicht mehr.

stephan.com liefert die Blaupause für ein potentiell nicht mehr ganz so freundliches Widget. Wer sich zum ihm durchklickt, sei gewarnt, ein Widget wird direkt nach Seitenaufruf heruntergeladen (und je nach obigen Einstellungen direkt in Dashboard gepackt): "If you are using Safari on Tiger, thanks to the magic of widget autoinstall, combined with the <meta> tag, a slightly evil widget has been installed in your dashboard. It could be a lot worse. There's a slightly more evil widget linked lower in this page, and I think it would be possible to make a much more destructive widget. I gave you something fairly tame." Rest der Lektüre+Auto-Install-Widget bei stephan.com. Es wundert schon, dass Apple nach dem einstigen Desaster das automatische Öffnen nicht wenigstens standardmäßig deaktiviert. (via tuaw)
Update: Dori Smith widmet sich der Problematik ausführlich für die Macworld: "Widgets are owned by the user, and can do anything that a user can do. For instance, they can remove files from your home directory without asking permission. They can run anything from the command line that a user can. They can call any AppleScript that a user can. If you’re now starting to get a little nervous, you’ve got the right idea."