James Lee

Nome do Software Vulnerável e Versões Afetadas: Versões do Firefox para iOS anteriores à 141 Descrição: O componente do scanner QR é suscetível à exploração, o que pode permitir a abertura de sites maliciosos. Isso ocorre quando um usuário escaneia um link especialmente criado que utiliza o esquema de URL de texto aberto do Firefox. Recomendações: Atualize o Firefox para iOS para a versão 141 ou superior.

Nome do Software Vulnerável e Versões Afetadas: Firefox para iOS versões anteriores à 141 Descrição: O esquema de URL utilizado pelo Firefox para facilitar a pesquisa de consultas de texto poderia permitir indevidamente que atacantes abrissem URLs de sites arbitrários ou páginas internas caso um usuário fosse induzido a clicar em um link. Recomendações: Atualize o Firefox para iOS para a versão 141 ou posterior.

A vulnerabilidade permite que atacantes falsifiquem endereços de sites ao abrir URLs maliciosamente construídas no Firefox a partir de outros aplicativos, como o Safari, caso as URLs utilizem esquemas não-HTTP usados internamente pelo cliente Firefox para iOS.

Websites could leverage the truncating behavior of long URLs in the location view to potentially trick users into thinking they were on a different webpage.

Ao utilizar um esquema de protocolo inválido, um atacante poderia falsificar a barra de endereços. Este problema afeta apenas sistemas operacionais Android, enquanto outros sistemas operacionais não são afetados.

Nome do software vulnerável e versões afetadas: Firefox para iOS em versões anteriores à 133 Descrição: O acesso a um site HTTP não seguro que utilize uma porta inexistente pode fazer com que o ícone do cadeado SSL na barra de URL apareça erroneamente como seguro. Recomendações: Para versões do Firefox para iOS anteriores à 133, atualize para a versão 133 ou posterior para resolver o problema. Como solução temporária, considere evitar o acesso a sites HTTP não seguros que utilizem portas inexistentes até que a atualização seja aplicada.

A falha permite que links internos utilizem o esquema do aplicativo usado para deeplinking, contornando potencialmente algumas verificações de segurança de URL. Isso pode resultar em falsificação de links.

Pode ocorrer um vazamento de permissão de um site confiável para um site não confiável por meio dos elementos `embed` ou `object`. Este problema está relacionado à preservação incorreta de permissões. A exploração deste problema pode permitir que um invasor remoto comprometa a confidencialidade de informações protegidas.

Um usuário que ativar o modo de tela cheia em uma página da Web especialmente criada para esse fim pode, potencialmente, não conseguir sair desse modo. Isso pode permitir a falsificação de outros sites, uma vez que a barra de endereços não fica mais visível.

O problema está relacionado à notificação que anuncia a transição para o modo de tela cheia no Firefox para Android. Várias mensagens e painéis, tanto do Firefox quanto do sistema operacional Android, poderiam ser usados para ocultar essa notificação, levando potencialmente à falsificação da interface do navegador se o usuário se distraísse com o aparecimento repentino de uma mensagem. As notificações agora utilizam o recurso Toast do Android. Este problema afeta apenas o Firefox para Android, não afetando outros sistemas operacionais.

Nome do software vulnerável e versões afetadas: Focus para iOS, versões anteriores à 130 Descrição: Sites da Web poderiam utilizar links em JavaScript para falsificar endereços URL na barra de navegação do Focus. Recomendações: Para o Focus para iOS, versões anteriores à 130, atualize para a versão 130 ou posterior para resolver o problema.

Existe uma possível vulnerabilidade em que pressionar longamente um link de download poderia permitir a execução de scripts entre sites.

O menu contextual dos links no Firefox para iOS poderia permitir ataques de script entre sites.

Existe uma possível vulnerabilidade em que pressionar longamente um link de download pode permitir a execução de comandos JavaScript dentro do navegador.

Nome do software vulnerável e versões afetadas: Focus para iOS, versões anteriores à 126 Descrição: O problema está relacionado ao fato de o esquema de arquivos das URLs estar oculto, o que pode permitir a falsificação do endereço de um site na barra de endereços. Isso poderia permitir que um invasor remoto realizasse ataques de falsificação, explorando erros na representação das informações na interface do usuário. Recomendações: Para o Focus para iOS em versões anteriores à 126, atualize para a versão 126 ou posterior para resolver o problema.

Nome do software vulnerável e versões afetadas: Microsoft Bing Search (versões afetadas não especificadas) Descrição: O problema está relacionado a uma falha no mecanismo de proteção de dados do sistema Microsoft Bing Search para o sistema operacional iOS. Essa falha pode ser explorada por um invasor remoto para realizar ataques de falsificação de identidade. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

O problema está relacionado a uma implementação inadequada no iOS, permitindo que um invasor remoto vaze dados de origem cruzada por meio de uma página HTML maliciosa. Isso se deve a um controle de acesso insuficiente, que pode ser explorado por um invasor remoto para obter acesso não autorizado a informações protegidas. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado.

O problema foi resolvido com melhorias no tratamento da interface do usuário. Um site malicioso pode extrair dados de áudio entre origens.

Esta vulnerabilidade permite que um invasor realize um ataque de Universal Cross-Site Scripting (UXSS) em um site da vítima utilizando um redirecionamento 302, desde que a vítima tenha um link para o site do invasor.

Uma falha permite que um invasor execute scripts não autorizados nos sites de origem exibidos na barra de URL quando um URI JavaScript é escaneado com o leitor de código QR.