Mozilla закрыла в Firefox для iOS две уязвимости. Одна из них, с высокой степенью опасности по классификации вендора, открывает путь к выполнению чужого кода в привилегированной среде браузера. Вторая позволяет подставить сохранённый логин и пароль в форму на чужой странице. Исправления вышли 5 октября 2026 года и собраны в версии 157.1.
Две уязвимости Firefox для iOS в переводе страниц и автозаполнении
Высокую степень опасности получила CVE-2026-103418, универсальный межсайтовый скриптинг через атрибут языка HTML в сервисе перевода. Об ошибке сообщил исследователь Мунеаки Нисимура. Атрибут lang сообщает браузеру, на каком языке написана страница, и Firefox читает его автоматически. Перед переводом значение этого атрибута попадает в служебный скрипт браузера. Проверки там нет, а значит, вместо кода языка может оказаться разметка, подготовленная злоумышленником.
Скрипт перевода работает в привилегированной среде, где не действуют ограничения, обычные для кода сайта. Поэтому чужая разметка исполняется с правами самого Firefox, а не страницы. Политика безопасности содержимого (CSP, набор правил сайта об источниках скриптов) такой запуск не останавливает. Уязвимости этого класса называют универсальными, поскольку они не зависят от ошибок конкретного сайта. Жертве достаточно открыть страницу и включить перевод.
Вторая уязвимость, CVE-2026-103417, относится к умеренной степени опасности. Нашёл её исследователь под ником planctonone. Проблема касается автозаполнения сохранённых логинов. Если окно с сохранёнными данными открыто, а страница в этот момент переходит на другой домен, Firefox мог подставить логин и пароль уже на новую страницу. Привязки к исходному сайту не было. Браузер не сверял происхождение страницы и не отклонял вставку, когда источник менялся.
На практике окно сохранённых логинов открывается, когда человек решает подставить данные в форму входа. Если сайт за это время успевает сделать перенаправление на другой адрес, данные уходят не туда. Записи об обеих проблемах в базе Mozilla идут под номерами 2062109 и 2068171.
Сведений о применении этих уязвимостей в реальных атаках бюллетень не содержит. Последствия при этом заметные. Первая даёт сайту доступ к возможностям браузера, которые разработчики не собирались ему отдавать. Вторая может отдать логин и пароль форме на другом ресурсе. Автозаполнение включается при входе на сайт, для которого сохранены данные, поэтому уязвимость задевает всех, кто хранит пароли в браузере.
Обе проблемы закрыты в Firefox для iOS 157.1, обновление лежит в App Store. Уязвимы все более ранние версии браузера на iPhone и iPad. Firefox для iOS ставится из магазина приложений, поэтому исправление приходит как обычное обновление программы.
Установите 157.1 и включите автоматическую загрузку обновлений, чтобы такие выпуски приходили без задержки. Пока новая версия не установлена, снизить риск помогает отказ от встроенного перевода страниц: уязвимость связана именно с этим механизмом. Пароли, которые браузер уже сохранил и подставлял в формы, стоит проверить на предмет неожиданных входов в учётные записи.
Мобильные браузеры давно переросли роль программы для просмотра страниц. Встроенный перевод, автозаполнение и синхронизация - это отдельные сервисы со своим кодом и своими ошибками. Mozilla оценила одну уязвимость как высокую, другую как умеренную, а закрывает обе одна установка из App Store.
Ссылки
