CVE-2025-27425
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Skanowanie niektórych kodów QR zawierających tekst z adresem URL strony internetowej mogło spowodować otwarcie adresu URL bez uprzedniego wyświetlenia użytkownikowi alertu potwierdzającego. Podatność została naprawiona w Firefox dla iOS 136.
Ocena ryzyka
Użytkownik może zostać nieświadomie przekierowany na złośliwą stronę, co zwiększa ryzyko phishingu i infekcji złośliwym oprogramowaniem.
Rekomendacja
Zaktualizuj Firefox dla iOS do wersji 136 lub nowszej, aby uniknąć ryzyka.
Inne podatności w Firefox for iOS
Zobacz wszystkie- CVE-2023-49060Krytyczne
W Firefoksie dla iOS atakujący mógł uzyskać dostęp do wewnętrznych stron lub danych poprzez wyeksfiltrowanie klucza bezpieczeństwa z ReaderMode przy użyciu atrybutu referrerpolicy. Podatność dotyczy wersji Firefox dla iOS starszych niż 120.
- CVE-2026-116632Średnie
Złośliwa strona internetowa mogła wstawić dowolny tekst do monitu połączenia FaceTime wyświetlanego przez iOS, co potencjalnie pozwalało na wyświetlenie wiadomości phishingowej w interfejsie systemowym. Podatność została naprawiona w Firefox for iOS 156.1.
- CVE-2026-116631Średnie
Złośliwa strona internetowa mogła otworzyć link tel w oknie wyświetlającym inną witrynę, powodując wyświetlenie monitu połączenia telefonicznego tak, jakby żądanie pochodziło od tej witryny. Podatność została naprawiona w Firefox for iOS 156.1.
- CVE-2026-103418Wysokie
Firefox dla iOS bezpośrednio interpolował atrybut języka HTML strony do kodu JavaScript tłumaczenia, co pozwalało atakującemu na wykonanie kodu w uprzywilejowanym kontekście przeglądarki i ominięcie polityki bezpieczeństwa treści (CSP). Luka została naprawiona w Firefox dla iOS 157.1.
- CVE-2026-103417Średnie
Firefox dla iOS mógł automatycznie wypełniać zapisane dane logowania na nowej stronie, jeśli nawigacja między domenami nastąpiła podczas otwartego interfejsu zapisanych loginów. Autouzupełnianie nie było powiązane z oryginalną stroną ani odrzucane po zmianie pochodzenia. Luka została naprawiona w Firefox dla iOS 157.1.
- CVE-2026-86853Średnie
Złośliwa strona internetowa może wielokrotnie wywoływać zewnętrzne schematy URL, powodując wyświetlanie monitów systemowych lub uruchamianie zewnętrznych aplikacji. Może to sprawić, że Firefox dla iOS będzie tymczasowo bezużyteczny, dopóki strona nie zostanie zamknięta. Luka została naprawiona w Firefox dla iOS 155.1.
- CVE-2026-81267Średnie
Złośliwa strona internetowa może zatrzymać nawigację między źródłami w oknie popup po zatwierdzeniu, powodując wyświetlenie w pasku adresu docelowego źródła, podczas gdy nadal renderowana jest treść kontrolowana przez atakującego. Podatność została naprawiona w Firefox for iOS 155.0.
- CVE-2026-14906Średnie
Podatność w przeglądarce Firefox dla systemu iOS umożliwiała nadpisywanie plików PDF lub dołączonej zawartości w piaskownicy aplikacji za pomocą złośliwych tytułów stron. Luka została naprawiona w wersji 152.4.
- CVE-2026-13356Średnie
Złośliwa strona internetowa może przerwać oczekującą nawigację, dodając do kolejki synchroniczne okno dialogowe JavaScript, co powoduje wyświetlenie docelowego pochodzenia w pasku adresu przeglądarki, podczas gdy renderowana jest treść kontrolowana przez atakującego. Podatność została naprawiona w przeglądarce Firefox dla systemu iOS w wersji 152.3.
- CVE-2026-53900Średnie
Firefox dla iOS zachowywał ciasteczka ustawione w początkowym żądaniu PDF podczas przekierowań HTTP między różnymi źródłami, co pozwalało złośliwej stronie na wstrzykiwanie dowolnych ciasteczek do żądań do niezwiązanej domeny docelowej.
Oryginalny opis (angielski, źródło NVD)
Scanning certain QR codes that included text with a website URL could allow the URL to be opened without presenting the user with a confirmation alert first. This vulnerability was fixed in Firefox for iOS 136.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS