Релиз на Firefox 148 с настройки за деактивиране на AI

Състоя се издаването на уеб браузъра Firefox 148 и бяха оформени актуализации на предишните версии с дългосрочна поддръжка — 140.8.0 и 115.33.0 (последната в серията 115.x). В близките часове версията Firefox 149 ще премине в бета-тест, чийто релиз е насрочен за 24 март.

Основни нововъведения в Firefox 148 (1, 2, 3):

• В настройките е добавена обещаната секция „AI Controls“ за управление на използването на AI. Потребителят може да изключи всички функции на AI или селективно да активира само необходимата функционалност. За селективно изключване са налични AI базирани функции като: превод на друг език, разпознаване на текст в изображения и сканирани PDF документи, препоръки и етикети при групиране на раздели, генериране на резюме на съдържанието на страницата при предварителен преглед на връзки и интерфейс за взаимодействие с чатботове. Всяка от функциите може да бъде активирана, деактивирана или блокирана. При блокиране локално инсталираните AI модели се изтриват, а интерфейсните елементи се скриват.
• В настройките е добавена отделна опция за включване на извънредно дистанционно приложение на корекции и промени в периода между релизите. По-рано тази възможност беше свързана с активирането на телеметрия и участие в тестове на експериментални възможности (Privacy & Security» > «Firfox Data collection» > «Install and run studies»), но от Firefox 148 може да бъде активирана независимо от тях.
• Фоновите изображения, избрани за страницата, показвана при отваряне на нов раздел, сега се прилагат както за новите раздели по подразбиране, така и за новите контейнери.
• За потребителите на Windows 10 и 11 е добавена функцията Firefox Backup, позволяваща създаването на резервни копия на данните, съхранявани от браузъра, като отметки, настройки и пароли. В резервната копия не се включват данни, които потребителят е избрал да изтрие при затваряне на браузъра. Създадената резервна копия може да бъде използвана за възстановяване на състоянието след преинсталиране на операционната система или на друг компютър.
• Гарантирана е уеб съвместимостта на началния документ «about:blank», който вече се формира синхронно и при започване на навигацията на страницата не се заменя асинхронно с втори празен документ, генериран от парсера (заради подобна подмяна възникваше състояние на състезание, което понякога водеше до загуба на промени, записани чрез JavaScript веднага след извикването на window.open()).
• В механизма Service worker е добавена поддръжка на API WebGPU, позволяваща изпълнение на операции WebGPU във фонов режим, например в плъгини или при изпълнение на общи задачи за различни табове на един и същи сайт.
• В JavaScript са добавени методите Iterator.zip() и Iterator.zipKeyed() за обединяване на няколко масива. Методите позволяват на базата на няколко итератора да се създаде нов итератор, всеки елемент от който представлява масив или обект със стойности на итераторите в същата позиция. const str1 = «abc»; const str2 = «1234»; const it = Iterator.zip([Iterator.from(str1), Iterator.from(str2)]); for (const [char1, char2] of it) { console.log(`${char1} — ${char2}`); } // Ще изведе: // a — 1 // b — 2 // c — 3 const table = { name: [«Caroline», «Danielle», «Evelyn»], age: [30, 25, 35], city: [«New York», «London», «Hong Kong»], }; for (const { name, age, city } of Iterator.zipKeyed(table)) { console.log(`${name}, aged ${age}, lives in ${city}.`); } // Ще изведе: // Caroline, aged 30, lives in New York. // Danielle, aged 25, lives in London. // Evelyn, aged 35, lives in Hong Kong.
• Реализиран е API Trusted Types, разработван за защита от манипулации с DOM, водещи до междусайтово скриптиране (DOM XSS). Например, некоректната обработка на данни, получени от потребителя, в блокове eval() или вставки «.innerHTML» може да доведе до изпълнение на JavaScript код в контекста на определена страница. Trusted Types изисква използването на специални обекти TrustedHTML вместо голи стойности в опасни извиквания, като element.innerHTML, document.write() и setTimeout(). Обектите TrustedHTML от своя страна се създават с функции, написани от разработчика, които извършват проверка и почистване на данни.
• Добавен е API Sanitizer, който предоставя методи за манипулиране на HTML и изрязване на HTML елементи от съдържание, които влияят на визуализацията и изпълнението. За безопасно вмъкване на HTML съдържание е предложен методът element.setHTML(), който прилича на element.innerHTML, но защитава от междусайтово скриптиране (XSS). За безопасно разбиране на HTML е реализиран методът document.parseHTML(). API-то може да бъде полезно за почистване на данни, постъпващи от външни източници, и изрязване на HTML тагове, които могат да се използват за извършване на XSS атаки. const unsanitizedString = "abc alert(1) def"; const sanitizer1 = new Sanitizer({ elements: ["div", "p", "button", "script"], }); const target = document.getElementById("target"); target.setHTML(unsanitizedString, { sanitizer: sanitizer1 });
• Добавена е поддръжка на свойството "location.ancestorOrigins", което съдържа списък на източниците (origin) на всички родителски елементи на документа, свързани с дадения обект Location. На практика това свойство може да се използва например за определяне на зареждането на документа чрез iframe на друг сайт.
• В API Navigation е добавен обектът NavigationPrecommitController с метода addHandler(), който позволява свързване на обработчик, който се задейства по време на навигация на етапа "post-commit", когато новият URL вече е показан в адресната лента.
• Добавен е CSS свойството position-try-order, което определя приоритет на избора на резервни позиции, когато елемент с анкерно позициониране не може да се побере на екрана. Това свойство е част от набора CSS Anchor Positioning, който дава възможност за управление на показването на елементи, свързани с местоположението на други елементи, без да се използва JavaScript, например за закрепване на елементи на изскачащи прозорци (popover), които се появяват по аналогия с изскачащите подсказки.
• В CSS е добавена функцията shape(), която позволява формиране на фигури с помощта на CSS свойствата clip-path и offset-path. Функцията shape() поддържа команди за формиране на фигури, еквивалентни на функцията path(), но позволява да се използва стандартен синтаксис на CSS.
• В версията на Firefox за Android е променен дизайнът на панела с инструменти, подобрена е настройката на съдържанието на панела с инструменти и е добавена опция за бързо копиране на видимия текст на връзките без да се отваря страницата.

В допълнение към новити и поправките на грешки в Firefox 148, са отстранени 60 уязвимости (шест пъти повече в сравнение с предишното издание). 48 уязвимости са причинени от проблеми с паметта, като препълване на буфери и достъп до вече освободени области на паметта. Потенциално, тези проблеми могат да доведат до изпълнение на код от злонамеренец при отваряне на специално форматирани страници. 5 уязвимости позволяват заобикаляне на sandbox-изолацията поради некоректна проверка на границите и целочислено препълнение в компонента за работа с графика.

Източник: opennet.ru