Kompanija Google publikoi versionin e web-shfletuesit Chrome 146. Njëkohësisht është e disponueshme një version stabil i projektit të lirë Chromium, i cili është baza e Chrome. Shfletuesi Chrome dallon nga Chromium për përdorimin e logove të Google, sistemin e dërgimit të njoftimeve në rast të çregullimeve, module për riprodhimin e përmbajtjes së mbrojtur nga kopjimi (DRM), sistemin e përditësimeve automatike, përfshirjen e vazhdueshme të Sandbox-it, dërgimin e çelsave në Google API dhe transmetimin e parametra RLZ gjatë kërkimit. Për ata që kanë nevojë për më shumë kohë për përditësimin, mbështetet posaçërisht një degë e Stabilitetit të Zgjatur, e cila shoqërohet me 8 javë. Publikimi i ardhshëm i Chrome 147 është planifikuar për 7 prill.
Veçmas, kompania Google e shpalli publikimin e ndërtimeve zyrtare të Chrome për sistemet Linux që bazohen në arkitekturën ARM64. Ndërtimet Linux për ARM64 do të fillojnë të formohen në tremujorin e dytë të vitit 2026 dhe do të jenë të disponueshme në paketa deb dhe rpm. Më parë, ndërtimet zyrtare të Chrome për Linux janë publikuar vetëm për arkitekturën x86_64, ndërsa për arkitekturën ARM64 kanë qenë të disponueshme vetëm ndërtimet e palëve të treta Chromium, të propozuara nga distribucionet. Versioni zyrtar i Chrome është i ndryshëm me mbështetje për lidhjen me një llogari në Google, integrimin e shërbimeve të Google, sinkronizimin e të dhënave midis pajisjeve, instalimin e lehtë të shtesave nga katalogu i Chrome Web Store dhe mundësinë për të aktivizuar modin e avancuar të mbrojtjes.
Ndryshimet kryesore në Chrome 146:
- Për një pjesë të përdoruesve është aktivizuar mekanizmi i ndërhyrjes së lejeve selektive (Selective permission intervention), i cili bllokon qasjen e skripteve JavaScript të lidhura me shfaqjen e reklamave në mundësitë që ndikojnë në privatësi, siç janë qasja në informacionin e vendndodhjes, mikrofonin, clipboard-in, Bluetooth, USB, portin serik dhe kapjen e ekranit. Ideja është që nëse përdoruesi i dha faqes qasje në këto mundësi, ato leje nuk do të zbatohen për skritpet e tjera të shtyra në këtë faqe nga vende të tjera (veçmas përmes etiketës iframe apo drejtpërdrejt përmes etiketës script).
- Struktura e cilësimeve që lidhen me sigurinë është ndryshuar. Për të bërë më të thjeshtë për përdoruesin, tani ai ka mundësinë të zgjedhë midis nivelit standard dhe atij të thelluar të mbrojtjes, që lejon arritjen e nivelit të dëshiruar të sigurisë pa pasur nevojë të merret me detajet dhe opsionet e avancuara. Kur zgjidhet moda e theksuar, kryhet një verifikim i URL-së dhe përmbajtjes për Google, shfaqen paralajmërime për lidhjet e pa mbrojtura dhe ngadalësohet funksionimi i faqeve që nuk janë tipike për përdoruesin për të bllokuar sulmet. Nëse dëshiron, përdoruesi mund të kthehet në skemën e vjetër të konfigurimit të veçantë për çdo cilësim. Për të menaxhuar aktivizimin e dizajnit të ri të cilësimeve të sigurisë, është propozuar parametri "chrome://flags/#bundled-security-settings". serverë Ka vazhduar zhvillimi i modit AI, që lejon ndërveprimin me agjentin AI nga bari adresës ose nga faqja që shfaqet kur hapet një skedë e re. Mjeti AI lejon të bëhen pyetje komplekse në gjuhën natyrore dhe të merren përgjigje duke i agreguar informacionet nga faqet më relevante mbi temën e caktuar. Nëse është e nevojshme, përdoruesi mund të sqarojë informacionin me pyetje përcjellëse. Moda gjithashtu lejon të bëhen pyetje mbi përmbajtjen e faqes direkt nga barra adresës. Në Chrome 146 është realizuar mundësia e përdorimit të skedarëve nga ruajtja Google Drive si një kontekst për agjentin AI.
- Në modalitetin e automatikëve të plotësimit, është e mundur të përdoren lloje të dhënash shtesë, të cilat më parë ishin të disponueshme vetëm kur aktivizohej moda e zgjeruar e automatikëve të plotësimit (Enhanced autofill).
- Ka filluar aktivizimi gradual për përdoruesit të mbrojtjes nga kërkesa për qasje në sistemin lokal gjatë ndërveprimit me faqet publike. Kërkesat nga faqet për
- rrjetin lokal (Intranet ose adresat e brendshme) ose interfacin loopback (127.0.0.0/8) do të kërkojnë konfirmimin e veprimit nga përdoruesi. Në veprimet e mbrojtjes përfshihen përpjekjet për ngarkimin e burimeve, kërkesat fetch() dhe inserimet iframe. Mbrojtja ende nuk aplikohet për lidhjet përmes WebSockets, WebTransport dhe WebRTC, por do të shtohet për to në publikimin e ardhshëm. adresat IP локальной сети (интранет или внутренние адреса) или loopback-интерфейсу (127.0.0.0/8) потребует подтверждения операции у пользователя. Под действия защиты попадают попытки загрузки ресурсов, запросы fetch() и iframe-вставки. Защита пока не применяется для соединений через WebSockets, WebTransport и WebRTC, но будет добавлена для них в следующем выпуске.
Qashtja e burimeve të brendshme përdoret nga sulmuesit për identifikimin e tërthortë dhe realizimin e sulmeve CSRF mbi routera, pika acces, printera, interfesa web korporative dhe disajna të tjera dhe shërbime që pranojnë kërkesa vetëm nga rrjeti lokal. Për të menaxhuar përfshirjen e subneteve në kategorinë e brendshme ose publike, është propozuar konfigurimi LocalNetworkAccessIpAddressSpaceOverrides, ndërsa për të lejuar automatikisht aksesin për iframe të birësuara bazuar në autorizimet e iframe-së prind është shtuar konfigurimi LocalNetworkAccessPermissionsPolicyDefaultEnabled.
- Shtuar pronat CSS "animation-trigger" dhe "trigger-scope" për të menaxhuar animacionin në bazë të pozicionit të rrokullisjes së faqes. Për shembull, mund të aktivizoni, ndaloni ose rikthej animacionin kur arrini një pozicion të caktuar rrokullisjeje, duke përdorur vetëm CSS deklarativ pa kërkuar kod në JavaScript.
- Arrihet mbështetje për regjistrin e elementeve me përdorim të personalizuar për të ndarë hapësirën e shikimit të elementeve HTML me përdorim të personalizuar, e cila mund të nevojitet kur në një faqe përdoren disa elemente HTML me emra identikë. Në rastin e përdorimit të disa bibliotekave në faqe që përcaktojnë një element me emër të njëjtë, duke përdorur objektin JavaScript CustomElementRegistry, elementët e secilës bibliotekë mund të lidhen me pjesë të caktuar të hierarkisë DOM. Për shembull, nëse dy biblioteka përcaktojnë elemente të ndryshme me emrin e njëjtë , në një pjesë të faqes mund të përdoret elementi nga biblioteka e parë, dhe në një tjetër - nga e dyta.
- Shtuar API Sanitizer, e cila mund të jetë e dobishme për pastrimin e të dhënave që vijnë nga jashtë dhe për heqjen e etiketave HTML, të cilat mund të përdoren për realizimin e sulmeve XSS. API ofron metoda për manipulimin e HTML dhe përpastrimin e përmbajtjes së elementeve HTML që ndikon në shfaqje dhe ekzekutim. Për inserimin e sigurt të përmbajtjes HTML, është propozuar metoda element.setHTML(), e cila është e ngjashme me element.innerHTML, por mbron nga skriptimi i trefishtë (XSS). Për analizimin e sigurt të HTML-së, është realizuar metoda document.parseHTML(). const unsanitizedString = "abc alert(1) def"; const sanitizer1 = new Sanitizer({ elements: ["div", "p", "button", "script"], }); const target = document.getElementById("target"); target.setHTML(unsanitizedString, { sanitizer: sanitizer1 });
- Në elementin "meta" është realizuar një parameter me emrin "text-scale" (për shembull, ), duke përfshirë zmadhimin automatik të madhësisë së shkronjave në faqe sipas konfigurimeve të shfletuesit dhe sistemit operativ, nëse në faqe përdoren njësi të matjes relative (rem dhe em).
- Në API WebGPU është shtuar një mod të opsionit për kompatibilitet, duke ofruar një nëngrup funksionesh që mund të punojnë në sisteme me API grafike të vjetra, si OpenGL dhe Direct3D11.
- Në JavaScript është mundësuar bashkimi i disa iteratorëve në një të vetëm me ndihmën e metodës Iterator.concat().
- Në modalitetin 'Origjin provash' është zbatuar API WebNN, i cili lejon përdorimin e shërbimeve të ofruara nga sistemi operativ për mësimin e makinerive dhe mundësive përkatëse harduerike.
- Në modin "Origin trials" është realizuar API CPU Performance për të marrë informacionin mbi nivelin e performancës dhe karakteristikat e procesorit (numri i bërthamave, lloji, arkitektura, modeli, frekuenca etj.).
- Në modin "Origin trials" është shtuar atributi "focusgroup", duke lejuar përdorimin e çelësave të drejtimit në vend të tabulimit për të lëvizur midis butonave ose elementeve të tjera të lidhura me kalimin e fokusit.
- Janë bërë përmirësime në mjetet për zhvilluesit web. Në konsolën web është mbajtur rezultati i redaktimit të komandave gjatë navigimit në historikun e operacioneve. Në panelin Elements është realizuar shfaqja e stileve CSS, të cilat janë shtuar programatikisht në Shadow DOM, përmes një nodi të veçantë "#adopted-style-sheets" në pemën DOM, në të njëjtën mënyrë si shikimi dhe redaktimi i stileve të përcaktuara përmes etiketës .
Përveç novacionëve dhe rregullimeve, në versionin e ri janë eliminuar 29 vulnetabilitete. Shumica e vulnetabiliteteve janë zbuluar si rezultat i testimeve automatizuar nga veglat AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer dhe AFL. Një nga problemet (mbushja e tamponit në WebML) ka marrë një nivel kritik të rrezikshmërisë, duke sugjeruar se vulnerabiliteti lejon të anashkalohet të gjitha nivelet e mbrojtjes së shfletuesit dhe të ekzekutohet kodi në sistem jashtë mjedisit sandbox. Në kuadër të programit për shpërblimin e zbuluesve të vulnetabiliteteve për këtë version, kompania Google ka ndarë 29 shpërblime dhe ka paguar 211 mijë dollarë, duke vendosur një rekord për shumën e pagimeve në kuadër të një versioni të vetëm (dy shpërblime prej $43000, një shpërblim dhe $36000, $33000, $11000 dhe $7000, dy shpërblime në $10000 dhe $3000, dhe katër shpërblime në $2000 dhe $1000). Shuma e 12 shpërblimeve ende nuk është përcaktuar.
Burimi: opennet.ru
