Kerngegevens
- Leverancier
- Mozilla
- Product
- Firefox onderdeel voor iOS alle voor iOS-lekken
- Soort software
- browser
- Getroffen versies
- Firefox voor iOS ouder dan 157.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox voor iOS 157.1
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Firefox voor iOS werd het taalattribuut (lang) van een webpagina rechtstreeks in JavaScript van de vertaalfunctie geplaatst. Hierdoor kon een aanvaller via speciaal opgemaakte code op een pagina eigen code laten uitvoeren in de bevoorrechte omgeving van Firefox. Daarmee kon ook het Content Security Policy van de pagina worden omzeild. Dit soort fout heet cross-site scripting (XSS).
Wie loopt risico?
Je loopt risico als je Firefox op een iPhone of iPad gebruikt in een versie ouder dan 157.1. Een aanvaller moet je eerst naar een kwaadaardige pagina lokken, want er is een handeling van jou nodig, zoals het openen van die pagina. Er zijn in de gegevens geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Werk Firefox voor iOS bij
Installeer via de App Store versie 157.1 of nieuwer van Firefox voor iOS. In deze versie is het lek opgelost.
Controleer je versie
Kijk in de instellingen van de app na welke versie je gebruikt, zodat je zeker weet dat je op 157.1 of hoger zit.
Wees voorzichtig tot je bijgewerkt hebt
Open geen onbekende links of pagina's van onbetrouwbare bronnen zolang de update nog niet is geïnstalleerd.
Schakel automatische updates in
Zet automatische app-updates aan op je iPhone of iPad, zodat je volgende beveiligingsupdates snel binnenkrijgt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Firefox voor iOS voegde de waarde van het HTML-attribuut lang van de pagina zonder voldoende opschoning rechtstreeks in een JavaScript-string van de vertaalfunctie in. Een aanvaller die dit attribuut beheert, kan daardoor eigen markup of code injecteren. Die code wordt uitgevoerd in de bevoorrechte contentwereld van Firefox, niet in de gewone context van de pagina. Hierdoor wordt ook het Content Security Policy van de pagina omzeild. De fout is ingedeeld als CWE-79 (onjuiste neutralisatie van invoer tijdens het genereren van webpagina's). De CVSS-vector (AV:N/AC:L/PR:N/UI:R) wijst op een aanval via het netwerk die geen rechten vereist, maar wel een handeling van de gebruiker.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-79 · Cross-site scripting (onjuiste neutralisatie van invoer bij het genereren van webpagina's)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee