Каким это образом? Я не могу утверждать, но разве расширение имеет доступ к данным форм пересылаемым с помощью защищенного соединения. Данные сайта оно может получить, которые публичны и общедоступны, а вот приватные данные, те же пароли авторизаций... разве может?

Почему нет? Доступ к DOM-у есть. А это значит можно на страницу внедрить свой скрипт, который через postMessage будет передавать любые данные. А значения полей форм можно считывать напрямую через DOM.

По крайней мере в FF расширение умеет:
отлавливать и смотреть запросы
внедрять код на страницу
смотреть куки (все)
отправлять запросы куда угодно.
записывать и читать файлы
запускать экзешники (вроде бы)

Только для личного пользования. Можете прочитать свои данные из своего буфера обмена и самому себе их записать в сторажу.