CVE-2024-0953
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podczas skanowania kodu QR funkcją skanera QR, użytkownik nie jest pytany o zgodę przed przejściem do strony wskazanej w kodzie. Może to zaskoczyć użytkownika i potencjalnie przekierować go do niechcianych treści. Podatność dotyczy Firefox dla iOS w wersjach przed 129.
Ocena ryzyka
Użytkownicy mogą zostać nieświadomie przekierowani na złośliwe strony, co zwiększa ryzyko phishingu lub instalacji złośliwego oprogramowania.
Rekomendacja
Zaktualizuj Firefox dla iOS do wersji 129 lub nowszej, aby uzyskać poprawkę.
Inne podatności w Firefox for iOS
Zobacz wszystkie- CVE-2023-49060Krytyczne
W Firefoksie dla iOS atakujący mógł uzyskać dostęp do wewnętrznych stron lub danych poprzez wyeksfiltrowanie klucza bezpieczeństwa z ReaderMode przy użyciu atrybutu referrerpolicy. Podatność dotyczy wersji Firefox dla iOS starszych niż 120.
- CVE-2026-14906Średnie
Podatność w przeglądarce Firefox dla systemu iOS umożliwiała nadpisywanie plików PDF lub dołączonej zawartości w piaskownicy aplikacji za pomocą złośliwych tytułów stron. Luka została naprawiona w wersji 152.4.
- CVE-2026-13356Średnie
Złośliwa strona internetowa może przerwać oczekującą nawigację, dodając do kolejki synchroniczne okno dialogowe JavaScript, co powoduje wyświetlenie docelowego pochodzenia w pasku adresu przeglądarki, podczas gdy renderowana jest treść kontrolowana przez atakującego. Podatność została naprawiona w przeglądarce Firefox dla systemu iOS w wersji 152.3.
- CVE-2026-53900Średnie
Firefox dla iOS zachowywał ciasteczka ustawione w początkowym żądaniu PDF podczas przekierowań HTTP między różnymi źródłami, co pozwalało złośliwej stronie na wstrzykiwanie dowolnych ciasteczek do żądań do niezwiązanej domeny docelowej.
- CVE-2026-53899Średnie
Firefox dla iOS używał częściowego dopasowania domen przy dołączaniu ciasteczek do żądań PDF, co pozwalało złośliwej stronie na suffixie domeny na otrzymywanie ciasteczek należących do docelowej strony.
- CVE-2026-9309Średnie
W przeglądarce Firefox dla iOS w trybie czytnika (Reader View) nieprawidłowo obsługiwano znaczniki HTML w metadanych JSON-LD. Złośliwa strona mogła wstrzyknąć kod zmieniający zachowanie trybu czytnika i ujawniający poufne parametry URL, co mogło prowadzić do wykonania dowolnego kodu JavaScript w wewnętrznym kontekście. Podatność została naprawiona w wersji 151.2.
- CVE-2026-9308Średnie
W przeglądarce Firefox dla iOS tryb czytnika (Reader View) zastępował treść strony w szablonie HTML przed zastąpieniem innych wewnętrznych znaczników. Złośliwa strona mogła umieścić ciąg zastępczy, który później został podmieniony danymi JSON-LD, co mogło prowadzić do wykonania dowolnego kodu JavaScript. Podatność została naprawiona w wersji 151.2.
- CVE-2026-9078Średnie
Firefox dla iOS nieprawidłowo wyświetlał specjalnie spreparowane nazwy domen RTL i IDN w interfejsie podglądu linków. Może to pozwolić atakującemu na podszywanie się pod zaufane źródła. Podatność została naprawiona w Firefox dla iOS 151.1.
- CVE-2026-8706Średnie
Firefox dla iOS udostępniał tryb czytnika na nieuwierzytelnionym lokalnym serwerze WWW, co pozwalało innej aplikacji na tym samym urządzeniu na żądanie dowolnych URL-i i odbieranie odpowiedzi z ciasteczkami zalogowanego użytkownika. Podatność naprawiona w Firefox dla iOS 151.0.
- CVE-2024-43113Średnie
Menu kontekstowe dla linków może stanowić okazję do ataków cross-site scripting. Podatność dotyczy Firefox dla iOS w wersjach przed 129.
Oryginalny opis (angielski, źródło NVD)
When a user scans a QR Code with the QR Code Scanner feature, the user is not prompted before being navigated to the page specified in the code. This may surprise the user and potentially direct them to unwanted content. This vulnerability affects Firefox for iOS < 129.