谷歌信息安全工程師米歇爾·斯帕格諾洛（Michele Spagnuolo）周二在博客稱，Flash Player的升級補丁存在漏洞。用戶在訪問eBay，Tumblr，Twitter或Instagram等網站后，其計算機可能被駭客控制，數百萬用戶的身份認證因此面臨風險。

從Adobe的公告欄中我們了解到，這個提供給Windows，Mac和Linux計算機用戶的補丁可以將軟件升級到版本14.0.0.145。目前Adobe已經將這次威脅設置為***級別并于周二發出新的安全補丁，谷歌Chrome和微軟Internet Explorer用戶將會自動安裝新的安全補丁，但未及時下載這一補丁的用戶仍存在安全風險。

研究人員建議，大型網站的工程師應及時對服務器進行調整，主動降低風險。目前，Twitter和谷歌的多個服務器已經對這一漏洞進行了修復。

導致這一漏洞的直接原因是常年以來，普通SWF文件均依賴代碼轉換為全部基于字母數字的內容。但在壓縮SWF文件使其支持JSONP技術的轉換過程中能夠設置瀏覽器Cookies，或執行其它任務。

一款名為Rosetta Flash的概念驗證工具通過使用一種新的編碼方法，能在只包含字符的SWF文件中加入惡意命令。這樣制作的SWF文件就能假冒訪客的Flash發送網絡請求，從而獲得JSONP網站設置的用戶身份認證Cookies和其它文件。