È stato rilasciato il browser web Firefox 148 e sono stati creati aggiornamenti per le versioni precedenti con supporto a lungo termine — 140.8.0 e 115.33.0 (l'ultimo della serie 115.x). Nelle prossime ore la versione Firefox 149 entrerà in fase di beta testing, con rilascio previsto per il 24 marzo.
Novità principali in Firefox 148 (1, 2, 3):
- Negli impostazioni è stata aggiunta la sezione precedentemente promessa "AI Controls" per gestire l'uso dell'IA. L'utente può disattivare tutte le funzionalità AI in una volta o attivare solo quelle necessarie. Tra le funzionalità AI disponibili per la disattivazione selettiva ci sono la traduzione in un'altra lingua, il riconoscimento del testo nelle immagini e nei documenti PDF scansionati, le raccomandazioni e le etichette per la gestione delle schede, la generazione di un contenuto sintetico della pagina in anteprima dei link e l'interfaccia per accedere ai chatbot. Ognuna di queste funzioni può essere attivata, disattivata o bloccata. Quando è bloccata, i modelli AI installati localmente vengono rimossi e gli elementi dell'interfaccia vengono nascosti.
- Nelle impostazioni è stata aggiunta un'opzione separata per abilitare l'applicazione remota non pianificata di patch e modifiche tra le versioni. In precedenza, questa possibilità era legata all'attivazione della telemetria e alla partecipazione ai test delle funzionalità sperimentali (Privacy & Security » > «Raccolta dati Firefox» > «Installa e avvia studi»), ma a partire da Firefox 148 può essere attivata indipendentemente da esse.
- Le immagini di sfondo selezionate per la pagina mostrata all'apertura di una nuova scheda vengono ora applicate sia per le nuove schede predefinite che per le nuove schede dei contenitori.
- Per gli utenti di Windows 10 e 11 è stata aggiunta la funzione Firefox Backup, che consente di creare copie di sicurezza dei dati memorizzati dal browser, come segnalibri, impostazioni e password. I dati selezionati dall'utente per la pulizia durante la chiusura del browser non vengono inclusi nel backup. Il backup creato può essere utilizzato per ripristinare lo stato dopo la reinstallazione del sistema operativo o su un altro computer.
- È stata garantita la compatibilità web del documento iniziale «about:blank», che ora viene generato in modo sincrono e, all'inizio della navigazione nella pagina, non viene sostituito in modo asincrono da un secondo documento vuoto generato dal parser (tale sostituzione provocava una condizione di gara, portando talvolta alla perdita di modifiche registrate tramite JavaScript subito dopo la chiamata di window.open()).
- Nel meccanismo Service worker è stata aggiunta la supporto per l'API WebGPU, che consente di eseguire operazioni WebGPU in background, ad esempio in componenti aggiuntivi o durante l'esecuzione di lavori comuni per diverse schede dello stesso sito.
- In JavaScript sono stati aggiunti i metodi Iterator.zip() e Iterator.zipKeyed() per unire più array. Questi metodi permettono di creare un nuovo iteratore a partire da più iteratori, dove ogni elemento rappresenta un array o un oggetto con i valori degli iteratori nella stessa posizione. const str1 = "abc"; const str2 = "1234"; const it = Iterator.zip([Iterator.from(str1), Iterator.from(str2)]); for (const [char1, char2] of it) { console.log(`${char1} — ${char2}`); } // Restituisce: // a — 1 // b — 2 // c — 3 const table = { name: ["Caroline", "Danielle", "Evelyn"], age: [30, 25, 35], city: ["New York", "Londra", "Hong Kong"], }; for (const { name, age, city } of Iterator.zipKeyed(table)) { console.log(`${name}, di ${age} anni, vive a ${city}.`); } // Restituisce: // Caroline, di 30 anni, vive a New York. // Danielle, di 25 anni, vive a Londra. // Evelyn, di 35 anni, vive a Hong Kong.
- API Trusted Types è stato implementato, sviluppato per proteggere da manipolazioni del DOM che possono portare a scripting inter-sito (DOM XSS). Ad esempio, un'elaborazione errata dei dati forniti dall'utente in blocchi eval() o nell'inserimento di «.innerHTML» può portare all'esecuzione di codice JavaScript nel contesto di una determinata pagina. Trusted Types richiede l'uso di oggetti speciali TrustedHTML al posto di stringhe non elaborate in chiamate pericolose, come element.innerHTML, document.write() e setTimeout(). Gli oggetti TrustedHTML sono creati da funzioni scritte dagli sviluppatori che effettuano la verifica e la pulizia dei dati.
- È stato aggiunto l'API Sanitizer, che fornisce metodi per manipolare l'HTML e rimuovere dal contenuto gli elementi HTML che influenzano la visualizzazione e l'esecuzione. Per un'inserimento sicuro del contenuto HTML, è stato proposto il metodo element.setHTML(), simile a element.innerHTML ma protetto da attacchi di Cross-Site Scripting (XSS). Per un'analisi sicura dell'HTML, è stato implementato il metodo document.parseHTML(). L'API può essere utile per ripulire i dati in ingresso e rimuovere i tag HTML che possono essere sfruttati per attacchi XSS. const unsanitizedString = «abc def»; const sanitizer1 = new Sanitizer({ elements: [«div», «p», «button», «script»], }); const target = document.getElementById(«target»); target.setHTML(unsanitizedString, { sanitizer: sanitizer1 });
- È stato aggiunto il supporto per la proprietà «location.ancestorOrigins», che contiene un elenco di origini (origin) di tutti gli elementi genitori del documento associati all'oggetto Location specificato. Nella pratica, questa proprietà può essere utilizzata, ad esempio, per determinare se il documento è stato caricato tramite iframe su un altro sito.
- Nell'API Navigation è stato aggiunto l'oggetto NavigationPrecommitController con il metodo addHandler(), che consente di collegare un gestore che si attiva durante la navigazione nella fase di «post-commit», quando il nuovo URL è già visibile nella barra degli indirizzi.
- È stata aggiunta la proprietà CSS position-try-order, che imposta la priorità di selezione delle posizioni di fallback quando un elemento con posizionamento ancorato non si adatta allo schermo. Questa proprietà fa parte del set CSS Anchor Positioning, che consente di gestire la visualizzazione di elementi ancorati alla posizione di altri elementi, senza l'uso di JavaScript, per esempio per ancorare elementi come i popover, che appaiono in modo simile agli tooltip.
- È stata aggiunta la funzione shape() in CSS, che consente di creare forme utilizzando le proprietà CSS clip-path e offset-path. La funzione shape() supporta comandi di formazione delle forme equivalenti a quelli della funzione path(), ma consente l'uso della sintassi standard CSS.
- Nella versione di Firefox per Android è stata modificata l'aspetto della barra degli strumenti, migliorata la configurazione del contenuto della barra degli strumenti ed è stata aggiunta un'opzione per copiare rapidamente il testo visibile di un link senza aprire la pagina.
Oltre alle novità e correzioni di errori, Firefox 148 ha risolto 60 vulnerabilità (6 volte di più rispetto all'uscita precedente). 48 vulnerabilità sono causate da problemi di gestione della memoria, come buffer overflow e accesso a aree di memoria già liberate. Questi problemi potrebbero potenzialmente portare all'esecuzione di codice malevolo aprendo pagine appositamente progettate. 5 vulnerabilità consentono di bypassare l'isolamento sandbox a causa di controlli sui limiti non corretti e di overflow di numeri interi nel componente di gestione grafica.
Fonte: opennet.ru
