CVE-2026-2634

Spoofing adresu URL w Firefox iOS — fałszywe domeny w pasku adresu

CVSS 9.8v3.1pub. 2026-02-24upd. 2026-04-13

Podatność w Firefox dla iOS umożliwia złośliwym skryptom desynchronizację paska adresu z rzeczywistą zawartością strony przed otrzymaniem odpowiedzi. W efekcie strony kontrolowane przez atakującego mogą być prezentowane użytkownikowi pod sfałszowaną nazwą domeny.

▸ Pokaż oryginał (EN)

Malicious scripts could cause desynchronization between the address bar and web content before a response is received in Firefox iOS, allowing attacker-controlled pages to be presented under spoofed domains. This vulnerability was fixed in Firefox for iOS 147.4.

🤖 Analiza AI

Jak działa

Złośliwy skrypt może wywołać stan desynchronizacji pomiędzy paskiem adresu przeglądarki a ładowaną treścią webową w momencie, gdy odpowiedź serwera nie została jeszcze odebrana. Pozwala to atakującemu na wyświetlenie własnej, kontrolowanej strony przy jednoczesnym pokazaniu w pasku adresu zaufanej, fałszywej domeny. Mechanizm ten wpisuje się w kategorię CWE-451, czyli błędów polegających na wprowadzeniu użytkownika w błąd co do źródła prezentowanych informacji.

Skutki

Atakujący może skutecznie podszyć się pod zaufane serwisy internetowe (np. banki, portale logowania), wyłudzając dane uwierzytelniające lub inne wrażliwe informacje od użytkowników, którzy nie są w stanie odróżnić fałszywej strony od prawdziwej na podstawie paska adresu.

Mitygacja

Należy zaktualizować Firefox dla iOS do wersji 147.4 lub nowszej, w której podatność została naprawiona. Aktualizacja dostępna jest za pośrednictwem Apple App Store.

Kogo dotyczy

Mozilla Firefox dla iOS w wersjach poprzedzających 147.4

Uwagi

Podatność dotyczy wyłącznie wersji Firefox przeznaczonej na platformę iOS — nie odnosi się do wersji desktopowej ani wersji Android. Poprawka opisana w Mozilla Foundation Security Advisory MFSA2026-12.