Уязвимость внедрения HTML через отсутствие экранирования при просмотре веб-страницы в режиме чтения в Firefox для Android
Описание
Отсутствие экранирования позволяет внедрять HTML, когда веб-страница просматривается в режиме Чтения (Reader View). Политика содержимого безопасности (CSP) предотвращает непосредственное выполнение кода, однако внедрение HTML все равно возможно.
Затронутые версии ПО
- Firefox для Android версий до 88
Тип уязвимости
Внедрение HTML
Ссылки
- Issue TrackingPermissions RequiredVendor Advisory
- Release NotesVendor Advisory
- Issue TrackingPermissions RequiredVendor Advisory
- Release NotesVendor Advisory
Уязвимые конфигурации
EPSS
6.1 Medium
CVSS3
4.3 Medium
CVSS2
Дефекты
Связанные уязвимости
Lack of escaping allowed HTML injection when a webpage was viewed in Reader View. While a Content Security Policy prevents direct code execution, HTML injection is still possible. *Note: This issue only affected Firefox for Android. Other operating systems are unaffected.*. This vulnerability affects Firefox < 88.
Lack of escaping allowed HTML injection when a webpage was viewed in R ...
Lack of escaping allowed HTML injection when a webpage was viewed in Reader View. While a Content Security Policy prevents direct code execution, HTML injection is still possible. *Note: This issue only affected Firefox for Android. Other operating systems are unaffected.*. This vulnerability affects Firefox < 88.
ALT-PU-2021-1676: package `firefox` update to version 88.0-alt1
ALT-PU-2021-2725: package `firefox-esr` update to version 91.0.1-alt1
EPSS
6.1 Medium
CVSS3
4.3 Medium
CVSS2