Sortie du navigateur Web Firefox 109. De plus, une mise à jour de la branche de support à long terme a été créée - 102.7.0. La branche Firefox 110 sera prochainement transférée en phase de bêta-test dont la sortie est prévue le 14 février.
Principales innovations de Firefox 109 :
- Par défaut, la prise en charge est activée pour la version XNUMX du manifeste Chrome, qui définit les capacités et les ressources disponibles pour les extensions écrites à l'aide de l'API WebExtensions. La prise en charge de la deuxième version du manifeste sera maintenue dans un avenir prévisible. Étant donné que la troisième version du manifeste a été critiquée et qu'elle brisera certains modules complémentaires de blocage de contenu et de sécurité, Mozilla s'est éloigné de la garantie d'une compatibilité totale du manifeste dans Firefox et a implémenté certaines fonctionnalités différemment. Par exemple, la prise en charge de l'ancien mode de fonctionnement de blocage de l'API webRequest n'a pas été interrompue, qui a été remplacée dans Chrome par une nouvelle API de filtrage de contenu déclaratif. La prise en charge du modèle de demande d'autorisation granulaire est également implémentée de manière légèrement différente, selon laquelle le Le module complémentaire ne peut pas être activé pour toutes les pages à la fois (l'autorisation a été supprimée "all_urls"). Dans Firefox, la décision finale concernant l'octroi de l'accès est laissée à l'utilisateur, qui peut décider de manière sélective quel module complémentaire accorder l'accès à ses données sur un site particulier. Pour gérer les autorisations, un bouton « Extensions unifiées » a été ajouté à l'interface, avec lequel l'utilisateur peut accorder et révoquer l'accès à une extension sur n'importe quel site. La gestion des autorisations s'applique uniquement aux modules complémentaires basés sur la troisième version du manifeste ; pour les modules complémentaires basés sur la deuxième version du manifeste, le contrôle d'accès granulaire aux sites n'est pas effectué.
- La page Firefox View a amélioré la conception des sections vides avec des onglets récemment fermés et des onglets ouverts sur d'autres appareils.
- La liste des onglets récemment fermés affichée sur la page d'affichage Firefox a ajouté des boutons pour supprimer des liens individuels de la liste.
- Ajout de la possibilité d'afficher la requête de recherche saisie dans la barre d'adresse, au lieu d'afficher l'URL du moteur de recherche (c'est-à-dire que les clés sont affichées dans la barre d'adresse non seulement pendant le processus de saisie, mais également après avoir accédé au moteur de recherche et affiché la recherche résultats associés aux clés saisies). La fonctionnalité est actuellement désactivée par défaut et nécessite la définition du paramètre «browser.urlbar.showSearchTerms.featureGate» dans about:config pour l'activer.
- Boîte de dialogue pour sélectionner une date pour un champ avec les types « date » et « datetime », adaptés au contrôle clavier, qui permettaient de prendre en charge correctement les lecteurs d'écran et d'utiliser des raccourcis clavier pour naviguer dans le calendrier.
- Nous avons réalisé une expérience en utilisant le module complémentaire Colorways intégré pour modifier l'apparence du navigateur (une collection de thèmes de couleurs était proposée pour la zone de contenu, les panneaux et la barre de changement d'onglet parmi lesquels choisir). Les thèmes de couleurs précédemment enregistrés sont accessibles sur la page « Modules complémentaires et thèmes ».
- Sur les systèmes avec GTK, la possibilité de déplacer simultanément plusieurs fichiers vers le gestionnaire de fichiers est implémentée. Le déplacement des images d'un onglet à un autre a été amélioré.
- Dans le système de clic automatique sur les bannières demandant l'autorisation d'utiliser des cookies sur les sites (cookiebanners.bannerClicking.enabled et cookiebanners.service.mode dans about:config), la possibilité d'ajouter des sites à la liste des exceptions pour lesquelles le clic automatique n’est pas appliqué a été mis en œuvre.
- Par défaut, le paramètre network.ssl_tokens_cache_use_only_once est activé pour empêcher la réutilisation des tickets de session dans TLS.
- Le paramètre network.cache.shutdown_purge_in_background_task est activé, ce qui résout le problème de l'arrêt correct des E/S de fichiers lors de l'arrêt.
- Un élément (« Épingler à la barre d'outils ») a été ajouté au menu contextuel du module complémentaire pour épingler le bouton du module complémentaire à la barre d'outils.
- Il est possible d'utiliser Firefox comme visualiseur de documents, sélectionné dans le système via le menu contextuel « Ouvrir avec ».
- Ajout d'informations sur le taux de rafraîchissement de l'écran à la page about:support.
- Paramètres ajoutés ui.font.menu, ui.font.icon, ui.font.caption, ui.font.status-bar, ui.font.message-box, etc. pour remplacer les polices système.
- La prise en charge de l'événement scrollend est activée par défaut, qui est générée lorsque l'utilisateur termine le défilement (lorsque la position cesse de changer) dans les objets Element et Document.
- Fourni un partitionnement de l'accès via l'API de stockage lors du traitement de contenu tiers, quelle que soit l'API d'accès au stockage.
- Ajout de la prise en charge de l'attribut list à l'élément range, qui transmet l'identifiant de l'élément avec une liste de valeurs prédéfinies proposées en saisie.
- La propriété CSS content-visibility, utilisée pour empêcher le rendu inutile des zones en dehors du champ de visibilité, a maintenant été mise à jour avec la valeur « auto ». Lorsqu'elle est définie, la visibilité est déterminée par le navigateur en fonction de la proximité de l'élément par rapport à la bordure de la zone visible.
- En CSS , qui définit les valeurs de couleur par défaut pour divers composants de page et ajoute la prise en charge des valeurs Mark, MarkText et ButtonBorder.
- Web Auth ajoute la possibilité de s'authentifier à l'aide du protocole CTAP2 (Client to Authenticator Protocol) à l'aide de jetons basés sur USB HID. La prise en charge n'est pas encore activée par défaut et est activée par le paramètre security.webauthn.ctap2 dans about:config.
- Dans les outils de développement Web du débogueur JavaScript, une nouvelle option de point d'arrêt a été ajoutée et se déclenche lors du passage au gestionnaire d'événements scrollend.
- La prise en charge des commandes « session.subscribe » et « session.unsubscribe » a été ajoutée au protocole de contrôle à distance du navigateur WebDriver BiDi.
- Les versions pour la plate-forme Windows incluent l'utilisation du mécanisme de protection matérielle ACG (Arbitrary Code Guard) pour bloquer l'exploitation des vulnérabilités dans les processus qui lisent du contenu multimédia.
- Sur la plateforme macOS, l'action des combinaisons Ctrl/Cmd + trackpad ou Ctrl/Cmd + molette de la souris a été modifiée, ce qui entraîne désormais un défilement (comme dans les autres navigateurs), plutôt qu'un zoom.
- Améliorations de la version Android :
- Lors de la visualisation d'une vidéo en plein écran, l'affichage de la barre d'adresse lors du défilement est désactivé.
- Ajout d'un bouton pour annuler les modifications après la suppression d'un site épinglé.
- La liste des moteurs de recherche est mise à jour après changement de langue.
- Correction d'un crash survenu lors du placement d'une grande quantité de données dans le presse-papiers ou la barre d'adresse.
- Amélioration des performances de rendu des éléments du canevas.
- Résolution d'un problème avec les appels vidéo qui ne peuvent utiliser que le codec H.264.
En plus des innovations et des corrections de bugs, Firefox 109 a corrigé 21 vulnérabilités. 15 vulnérabilités sont marquées comme dangereuses, dont 13 vulnérabilités (collectées sous CVE-2023-23605 et CVE-2023-23606) sont causées par des problèmes de mémoire, tels que des dépassements de tampon et l'accès à des zones de mémoire déjà libérées. Potentiellement, ces problèmes peuvent conduire à l'exécution de code d'un attaquant lors de l'ouverture de pages spécialement conçues. La vulnérabilité CVE-2023-23597 est provoquée par une erreur logique dans le code de création de nouveaux processus enfants et permet de lancer un nouveau processus dans le contexte file:// pour lire le contenu de fichiers arbitraires. La vulnérabilité CVE-2023-23598 est causée par une erreur de gestion des actions glisser-déposer dans le framework GTK et permet de lire le contenu de fichiers arbitraires via l'appel DataTransfer.setData.
Source: opennet.ru