Mozilla Firefox for iOS: Universal XSS über HTML-Sprachattribut in der Übersetzung
Zusammenfassung
Firefox for iOS fügte das HTML-Sprachattribut einer Webseite ohne ausreichende Prüfung in den JavaScript-Code der Übersetzungsfunktion ein. Ein Angreifer, der einen Benutzer auf eine manipulierte Seite lockt und dieser danach die Übersetzungsfunktion verwendet, kann Code im privilegierten Inhaltskontext von Firefox ausführen und die Content Security Policy der Seite umgehen. Mozilla hat das Problem in Firefox for iOS 157.1 behoben; der NVD-Status ist Deferred, und die CVSS- und CWE-Werte unterscheiden sich zwischen den Quellen.
Betroffen
- Mozilla Firefox for iOS vor 157.1 (CVE-Eintrag: nicht betroffen ab 157.1; VulDB nennt bis 157.0)
Behoben in
- Firefox for iOS 157.1 (MFSA 2026-105, veröffentlicht am 5. Oktober 2026)
Umgehung
Unbekannt.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden; der Bugzilla-Eintrag war zur Überprüfung nicht zugänglich.
Unsere Empfehlung
- Firefox for iOS auf allen iPhones und iPads auf 157.1 oder neuer aktualisieren und sicherstellen, dass automatische Updates aktiviert sind.
- Geräte priorisieren, die für E-Mail, Online-Banking oder die Cloud-Administration verwendet werden.
- CVSS-Wert und CWE vor einer Entscheidung anhand des NVD-Eintrags überprüfen.
- Dieselbe Sicherheitsmitteilung behebt auch CVE-2026-103417 (Autofill nach Cross-Origin-Navigation).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-105 www.mozilla.org
- Mozilla Bugzilla bug 2062109 bugzilla.mozilla.org
- Mozilla Security Advisories index www.mozilla.org
- VulDB entry 417476 vuldb.com
- Strix CVE-2026-103418 www.strix.ai
- HKCERT security bulletin on Mozilla products www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.