Браузер Mozilla Firefox

[RW011]

В Firefox предложена дополнительная защита от отслеживания с использованием редиректов

В ночные сборки Firefox, на базе которых 11 июня будет сформирован выпуск Firefox 127, добавлен новый механизм защиты от отслеживания перемещений пользователей - "Bounce Tracking Protection", расширяющий возможности по блокированию отслеживания посетителей с использованием редиректов на другие страницы.

1:

Суть метода отслеживания в том, что код трекера перенаправляет пользователя вначале на свой сайт, а уже с него перебрасывает на целевую страницу, что позволяет трекеру сохранить Cookie и данные в локальном хранилище в привязке к своему сайту. Сохранение данных после перехода на другой сайт позволяет обойти реализованные в режиме Enhanced Tracking Protection (ETP) методы для блокировки кросс-сайтовых операций - так как промежуточная страница открывается вне контекста другого сайта, на такой странице можно беспрепятственно устанавливать отслеживающие Cookie.

Механизм Bounce Tracking Protection позволяет отлавливать активность, специфичную для отслеживания через редиректы, и периодически очищать Cookie и локально сохранённые данные, используемые для отслеживания. В отличие от ранее доступного режима "Cookie Purging" очистка производится не на основе списка известных трекеров, а на основе эвристики, позволяющей выявлять новые сайты трекеров, анализируя поведение после редиректа.

[Viktoria_123]

Сообщение от RW011

В Firefox предложена дополнительная защита от отслеживания с использованием редиректов

В ночные сборки Firefox, на базе которых 11 июня будет сформирован выпуск Firefox 127, добавлен новый механизм защиты от отслеживания перемещений пользователей - "Bounce Tracking Protection", расширяющий возможности по блокированию отслеживания посетителей с использованием редиректов на другие страницы.

1:

Суть метода отслеживания в том, что код трекера перенаправляет пользователя вначале на свой сайт, а уже с него перебрасывает на целевую страницу, что позволяет трекеру сохранить Cookie и данные в локальном хранилище в привязке к своему сайту. Сохранение данных после перехода на другой сайт позволяет обойти реализованные в режиме Enhanced Tracking Protection (ETP) методы для блокировки кросс-сайтовых операций - так как промежуточная страница открывается вне контекста другого сайта, на такой странице можно беспрепятственно устанавливать отслеживающие Cookie.

Механизм Bounce Tracking Protection позволяет отлавливать активность, специфичную для отслеживания через редиректы, и периодически очищать Cookie и локально сохранённые данные, используемые для отслеживания. В отличие от ранее доступного режима "Cookie Purging" очистка производится не на основе списка известных трекеров, а на основе эвристики, позволяющей выявлять новые сайты трекеров, анализируя поведение после редиректа.

Отличная новость! Защита от отслеживания с помощью редиректов в Firefox 127 — это важный шаг к усилению конфиденциальности. "Bounce Tracking Protection" позволит лучше защищать пользователей от слежки через перенаправления. Интересно будет протестировать эту функцию в новых сборках.

[RW011]

Релиз Firefox 126

https://www.mozilla.org/en-US/firefo.../releasenotes/

Состоялся релиз web-браузера Firefox 126 и сформировано обновление ветки с длительным сроком поддержки - 115.11.0. На стадию бета-тестирования переведена ветка Firefox 127, релиз которой намечен на 11 июня.

Основные новшества в Firefox 126:

1:

В контекстное меню добавлена операция "Copy Link Without Site Tracking", позволяющая скопировать URL выбранной ссылки в буфер обмена, предварительно вырезав из него параметры запроса, которые используются для отслеживания переходов между сайтами. Например, при копировании ссылки будут удалены параметры mc_eid и fbclid, применяемые при переходе со страниц Facebook. Всего осуществляется вырезание более 300 параметров, применяемых для отслеживания, среди которых параметры, используемые в крупнейших интернет-магазинах.

Добавлена поддержка кодирования контента при помощи алгоритма сжатия Zstandard (zstd), помимо ранее поддерживаемых алгоритмов gzip, brotli и deflate. При отправке запросов Firefox теперь выставляет в HTTP-заголовке "Content-encoding" значение "gzip, deflate, br, zstd". Из крупных сайтов, поддерживающих отдачу сжатых данных в формате zstd, отмечается Facebook.
Добавлена экспериментальная возможность автоматизированного машинного перевода фрагментов текста, выделенных на странице (ранее поддерживался только перевод страницы целиком). Функция перевода вызывается через контекстное меню, показываемое при нажатии правой кнопки мыши на выделенном блоке текста. Для активации перевода фрагментов в about:config добавлена настройка browser.translations.select.enable.

Реализована передача дополнительной телеметрии с агрегированными счётчиками поисковых запросов разных категорий. Категории охватываются 20 обобщённых типов контента, например, спорт, бизнес и путешествия. Утверждается, что собираемая информация необходима для разработки новых возможностей поиска. Данные сохраняются без привязки к отдельным пользователям. Для удаления информации об IP-адресе пользователя применяется технология OHTTP (Oblivious-HTTP), обеспечивающая перенаправление зашифрованных HTTP-сообщений через дополнительные промежуточные узлы, так что конечный сервер получает запрос не от IP пользователя, а от IP транзитного узла.
Временно отключена добавленная в Firefox 125 возможность быстрого перехода по ссылке, сохранённой в буфере обмена (если во время нажатия на адресную строку в буфере обмена находится URL, автоматически данный URL показывался в качестве начальной рекомендации для перехода). В качестве причины отключения упоминаются проблемы с производительностью.
В сборках для macOS на компьютерах Mac с CPU M3 включено аппаратное ускорение декодирования видео в формате AV1.
Добавлен метод URL.parse(), возвращающий объект URL, представляющий ссылку, указанную в параметрах. В отличие от конструктора URL() новый метод в случае проблем с разбором возвращает null, вместо генерации исключения.
Включена поддержка CSS-свойства zoom, позволяющего уменьшать или увеличивать масштаб отдельных элементов. Для определения применённого к элементу уровня масштаба предложено свойство Element.currentCSSZoom, доступное только для чтения.
Добавлена возможность отражения состояния собственных HTML-элементов (custom element) в CSS через псевдо-класс ":state()". Функциональность реализована по аналогии с возможностью штатных HTML-элементов менять своё состояние в зависимости от взаимодействия с пользователем.
Добавлено свойство Selection.direction, определяющее направление выделения.
Добавлена поддержка API Screen Wake Lock, позволяющего web-приложению, например, мультимедийному проигрывателю, блокировать вызов хранителя экрана после длительной неактивности пользователя.
В API IndexedDB добавлен метод IDBFactory.databases для перебора имеющихся БД (возвращает массив объектов, содержащих имя и версию доступных БД).
В API Selection добавлена экспериментальная поддержка выделения, пересекающего границы теневого DOM. Включается через dom.shadowdom.selection_across_boundary.enabled в about:config.
В CSS добавлена экспериментальная функция shape(), позволяющая формировать фигуры с использованием CSS-свойств clip-path и offset-path. Включается через layout.css.basic-shape-shape.enabled в about:config.
Работа редактора стилей в инструментах web-разработчиков ускорена на 15-20%.
В инструментах для web-разработчиков добавлена настройка "Show split console" для включения/выключения режима, отображающего web-консоль одновременно с другими панелями.

В версии для Android решены проблемы с отображением панели с адресной строкой на устройствах со складными экранами. Для унификации с настольной версией настройки "Add-ons" переименованы в "Extensions".
Кроме новшеств и исправления ошибок в Firefox 126 устранена 21 уязвимость. Две уязвимости помечены как опасные. Первая опасная уязвимость (CVE-2024-4764) приводит к обращению к уже освобождённой области памяти при обработке нескольких WebRTC-потоков со звуком. Вторая опасная уязвимость (CVE-2024-4367) позволяет добиться выполнения JavaScript-кода при обработке во встроенном PDF-просмотрщике специально оформленных шрифтов. Ещё 9 уязвимостей вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

[RW011]

Обновление Firefox 127.0.1

https://www.mozilla.org/en-US/firefo.../releasenotes/

Доступен корректирующий выпуск Firefox 127.0.1, в котором исправлено несколько проблем:

1:

Ошибка, приводящая к невосстановлению прошлого сеанса при запуске, в случае отклонения ввода мастер-пароля для доступа к сохранённым в менеджере паролей учётным записям.
Проблема, приводящая в сборках Firefox для платформы Linux к снижению скорости воспроизведения звука в два раза, в случае включения моно-режима, активируемого при выставлении настройки "accessibility.monoaudio.enable".
Зависание инсталлятора для платформы Windows при попытке загрузки полного установочного архива.
Проблема, приводящая к некорректной блокировке Cookie для некоторых сайтов, таких как papertrailapp.com.
Из известных, но пока не исправленных проблем, отмечается зависание воспроизведения видео с YouTube при смене позиции в потоке. Проблема проявляется для видео VP9 с качеством выше 1080p.

[RW011]

Обновление Firefox 127.0.2 с устранением проблемы с YouTube
https://www.mozilla.org/en-US/firefo.../releasenotes/
Доступен корректирующий выпуск Firefox 127.0.2, в котором устранены проблемы с зависанием воспроизведения видео с YouTube при смене позиции в потоке. Проблема вызвана ошибочным формированием потока в формате VP9 на стороне YouTube и проявляется, среди прочего, для видео VP9 с качеством выше 1080p.

1:

В отдаваемом YouTube потоке не обеспечивается постоянное увеличение временны́х меток поступающих видеофрагментов, что приводит к ситуации появления фрагментов, перекрывающих друг друга по времени (например, приходит фрагмент, с метками начала и конца "124416000, 125126000", а за ним следует фрагмент с метками "125125000, 131382000", начинающийся раньше, чем заканчивается предыдущий фрагмент). Из-за данного несоответствия меток в потоке Firefox не может корректно рассчитать время начала следующего фрагмента и пропускает подобные фрагменты, не добавляя их в буфер и ожидая их поступления для воспроизведения, в то время как YouTube считает, что фрагменты успешно получены другой стороной.

Кроме того, исправлена ошибка, приводившая на платформе Windows к отображению в панели задач пиктограммы приватного режима и показу приватных окон Firefox в отдельных группах, в случае выставления параметра browser.privateWindowSeparation.enabled в значение false (после исправления приватные и обычные окна выводятся в одной группе на панели задач).

[RW011]

Релиз Firefox 128

Состоялся релиз web-браузера Firefox 128. Firefox 128 отнесён к категории веток с длительным сроком поддержки (ESR), обновления для которых выпускаются в течение года. Кроме того, сформировано обновление прошлой ветки с длительным сроком поддержки - 115.13.0 (в дальнейшем ожидается ещё два обновления 115.14 и 115.15). На стадию бета-тестирования переведена ветка Firefox 129, релиз которой намечен на 6 августа.

Основные новшества в Firefox 128:

1:

Добавлена поддержка машинного перевода выделенных на странице фрагментов текста (ранее поддерживался только перевод страницы целиком). Функция перевода вызывается через контекстное меню, показываемое при нажатии правой кнопки мыши на выделенном блоке. Для перевода задействована встроенная в Firefox система, которая выполняет перевод на локальной системе пользователя без обращения к внешним облачным сервисам. Система основана на открытом движке Bergamot, который представляет собой обвязку над фреймворком машинного перевода Marian, применяющим рекуррентную нейронную сеть (RNN) и языковые модели на основе трансформеров.

Предложен новый упрощённый и унифицированный диалог для очистки данных пользователя, в котором улучшено разделение данных на категории и добавлены сведения о размере данных, сохранённых за выбранный промежуток времени.

В выпадающем окне, показываемом во время набора в адресной строке, помимо рекомендуемых ссылок реализовано отображение недавно выполненных и набирающих популярность поисковых запросов. Возможность пока включена только для пользователей из США и Канады.

Добавлен виджет для показа прогноза погоды на странице, появляющейся при открытии новой вкладки. Для включения виджета в about:config предусмотрены настройки browser.newtabpage.activity-stream.showWeather и browser.newtabpage.activity-stream.system.showWeather.

В режиме приватного просмотра предоставлена возможность воспроизведения защищённого контента из стриминговых сервисов, таких как Netflix.
При работе через прокси с использованием протокола SOCKS5 по умолчанию включена отправка DNS-запросов тоже через прокси. Для SOCKS4 по-прежнему DNS-запросы отправляются через локальный резолвер.
Обеспечена отрисовка на лету различных видов контента с MIME-типами text/*, без необходимости предварительной загрузки подобных файлов перед просмотром.
Обновлён корневой сертификат, применяемый для верификации браузерных дополнений и контента, заверенного цифровой подписью Mozilla.
Добавлена поддержка экспериментального API IPA (Interoperable Private Attribution), предоставляющего рекламным сетям возможность получать и обрабатывать статистику об эффективности рекламных кампаний, соблюдая при этом конфиденциальность пользователей. Для исключения раскрытия данных о конкретных пользователях при обработке статистики применяются криптографические механизмы дифференциальной приватности и многосторонних конфиденциальных вычислений (MPC, Multi-Party Computation), позволяющие нескольким независимым участникам производить вычисления не получая информацию о чужих данных (web-сайты, браузеры и рекламодатели по отдельности не имеют доступ ко всей информации) и выполнять операции над зашифрованными данными. API доступен в режиме "origin trial" и может быть отключён в настройках конфиденциальности в секции "Website Advertising".
Добавлена поддержка увеличения или уменьшения размера объекта ArrayBuffer, а также увеличения размера объекта SharedArrayBuffer, что позволяет менять размер ArrayBuffer без создания нового буфера и переноса в него данных. Предложены новые методы ArrayBuffer.prototype.resize() и SharedArrayBuffer.prototype.grow().
В API WebRTC добавлен метод setCodecPreferences, позволяющий отключить определённые кодеки при согласовании соединения, а также изменить порядок предпочтения кодеков.
Значения в HTTP-заголовке Accept, передаваемые серверу при запросе документов и изображений, приведены к соответствию спецификации API Fetch и приближены к поведению других браузеров. В заголовке теперь передаётся "text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8" (по сравнению с прошлой версией добавлено упоминание "image/png" и "image/svg+xml").
Добавлена поддержка HTTP-заголовка "Priority", через который можно передать сведения о приоритете обработки запроса (RFC 9218) на стадии первого обращения к ресурсу.
Добавлена поддержка интерфейса CSSPropertyRule, CSS-правила @property и метода registerProperty(), позволяющих регистрировать собственные CSS-свойства с наследованием, проверкой типов и значениями по умолчанию.
В CSS предоставлена возможность указания относительных значений при определении цветов. Например, для получения синего цвета можно указать "rgb(from red 0 0 255)".
В CSS-свойство "content" добавлена возможность определения альтернативного текста для контента, включающего изображение.
Добавлены методы Request.bytes(), Response.bytes(), PushMessageData.bytes() и Blob.bytes(), позволяющие сформировать типизированный массив Uint8Array из объектов Request, Response, PushMessageData и Blob.
Добавлен метод MediaKeys.getStatusForPolicy() для получения информации о модуле CDM, используемом для расшифровки защищённого DRM-контента.
При включении в about:config настройки "image.jxl.enabled" обеспечена передача MIME-типа image/jxl в заголовке Accept, информирующем о поддержке обработки изображений в формате JPEG XL.
Добавлена экспериментальная поддержка технологии CHIPS (Cookies Having Independent Partitioned State), позволяющая изолировать Cookie в привязке к домену первого уровня, используя новый атрибут "Partitioned". Если в обычных условиях сторонний код с сайта "C", встроенный на сайты "A" и "В", может обрабатывать общие для данных сайтов Cookie, то при указании атрибута "Partitioned", выставленные сайтом "C" Cookie, при загрузке кода с сайтов "A" и "В", будут полностью разделены. Для включения в about:config добавлена опция network.cookie.CHIPS.enabled.
----------------------------------------------------------------------------
В инструментах для web-разработчиков при наведении курсора на селектор CSS-правила реализован вывод всплывающей подсказки с информацией о специфичности CSS-правила, позволяющей понять почему заданное CSS-правило применено раньше другого правила.

В панели инспектирования теперь подсвечивается некорректное применение пользовательских CSS-свойств, если их определение не соответствует использованному значению. Например, ниже отмечена ситуация, когда в свойстве "--b" вместо размера указали цвет:

На платформе macOS для записи звука с микрофона при помощи API getUserMedia задействован предоставляемый системой движок обработки звука, позволяющий добиться более высокого качества.
В версии для Android на устройствах с Android 14 и более новыми версиями платформы разрешено создание и использования ключей Passkey в сторонних приложениях управления аутентификацией без паролей с использованием биометрических идентификаторов, таких как отпечаток пальца или распознавание лица.
Кроме новшеств и исправления ошибок в Firefox 128 устранено 20 уязвимостей. 8 уязвимостей помечены как опасные, из которых 6 вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

[RW011]

Firefox 128.0.2
https://whattrainisitnow.com/calendar/

[RW011]

В Firefox тестируют автоматическую активацию режима "картинка в картинке"

В ночные сборки Firefox, на основе которых 3 сентября будет сформирован релиз Firefox 130, добавлена экспериментальная возможность для автоматического продолжения просмотра видео в плавающем окне (режим "картинка в картинке") в случае переключения с вкладки, на которой показывается видео.

1:

Иными словами, если во время просмотра видео переключиться на другую вкладку, то видео останется видимым поверх новой вкладки, благодаря автоматическому включению режима "картинка в картинке". После возврата на исходную вкладку с видео, режим "картинка в картинке" автоматически отключается. Включение автоматической активации режима "картинка в картинке" производится в настройках в секции "Firefox Labs".

[RW011]

Релиз Firefox 129
https://www.mozilla.org/en-US/firefo.../releasenotes/
Состоялся релиз web-браузера Firefox 129 и сформированы обновления прошлых веток с длительным сроком поддержки - 115.14.0 и 128.1.0. На стадию бета-тестирования переведена ветка Firefox 130, релиз которой намечен на 3 сентября.

Основные новшества в Firefox 129:

1:

По умолчанию активирован режим HTTPS-First Schemeless (dom.security.https_first_schemeless в about:config), при котором при попытке открытия в адресной строке страницы без указания http или https по умолчанию используется https, а если доступ по https недоступен, осуществляется откат на http без шифрования. Для включения полного режима HTTPS-First, при котором "http://" заменяется на "https://" в about:config следует использовать опцию "dom.security.https_first". В отличие от включаемого в настройках опционального режима "HTTPS Only" режим HTTPS-First не применяется к загрузке субресурсов, таких как изображения, скрипты и таблицы стилей, а действует только при попытке открытия сайта после перехода по ссылке или наборе URL в адресной строке.
На платформах Linux, Windows 11 и Android 10+ предоставлена возможность использования системного резолвера для определения DNS-записей, через которые передаётся информация об открытом ключе для механизма ECH (Encrypted Client Hello), который продолжает развитие технологии ESNI (Encrypted Server Name Indication) и обеспечивает шифрование информации о параметрах TLS-сеансов, таких как запрошенное доменное имя. Ключевое отличие ECH от ESNI в том, что в ECH вместо шифрования на уровне отдельных полей целиком шифруется всё TLS-сообщение ClientHello, что позволяет блокировать утечки через поля, которые не охватывает ESNI, например, поле PSK (Pre-Shared Key). Изменение также позволяет использовать протокол HTTP/3 без использования заголовка Alt-Svc. Ранее для получения ключа к ECH требовалось включение "DNS over HTTPS". Скрытие домена в HTTPS-трафике, среди прочего, в некоторых случаях приводит к решению проблем с падением скорости при просмотре YouTube, наблюдаемого последнее время у пользователей российских провайдеров.
В режиме читателя (Reader View) расширены возможности меню для настройки отображения текста и компоновки страницы - добавлена возможность регулирования отступов между символами и словами, а также выбора метода выравнивания текста.

В режим читателя добавлено новое меню "Theme" для настройки цветов фона, текста и ссылок при просмотре, а также для выбора базовых режимов отображения (тёмный, оттенки серого, светлый, контрастный, сепия).

Включено отображение эскизов содержимого вкладок при наведении мыши на кнопки вкладок. Помимо эскиза в информационный блок о вкладке также добавлено упоминание показанной во вкладке ссылки. Предполагается, что изменение упростит определение искомой вкладки, исключив необходимость переключения между вкладками. Для тех, кого раздражают лишние автоматически всплывающие окна, могут отключить новую возможность при помощи настройки "browser.tabs.hoverPreview.enabled" в about:config.

Для пользователей из Франции и Германии включено по умолчанию автоматическое заполнение в web-формах полей с адресами. Ранее данная возможность была включена только для пользователей из США и Канады. Для включения режима в других странах можно использовать настройку "extensions.formautofill.addresses.supportedCountr ies" на странице about:config. Для редактирования адреса, который будет добавляться в формы, в секции Autofill в настройках "Конфиденциальность и Безопасность" можно использовать кнопку редактирования сохранённых адресов.

Добавлена экспериментальная реализация боковой панели и возможность вертикального размещения вкладок, что позволяет выделить дополнительное экранное пространство для просмотра содержимого сайтов на широкоформатных экранах. Для включения вертикальных вкладок следует активировать параметры sidebar.revamp и sidebar.verticalTabs на странице about:config. Боковая панель может отображаться как в развёрнутом, так и в свёрнутом виде. В развёрнутом виде показывается часть заголовков страниц во вкладках и названия вынесенных в боковую панель операций, а в свёрнутом - видны только пиктограммы сайтов и операций.

В CSS добавлено @-правило "@starting-style" для применения стиля к элементу при его первой отрисовке, что может применяться для создания переходной анимации на стадии до открытия элемента на странице (в состоянии "display: none") или при добавлении элемента в DOM.
Добавлено CSS-свойство "transition-behavior" для применения переходной анимации к дискретным свойствам, таким как "display".
Реализовано событие textInput, которое не определено в стандарте, но используется вместо события "beforeinput" в некоторых web-приложениях на базе старых фреймфорков.
В JavaScript добавлена поддержка типизированных массивов Float16Array, а также методов DataView для чтения и установки значений с типом Float16, и метода Math.f16round() для округления чисел до 16-битной точности. Тип Float16 может оказаться полезным при работе с GPU для сокращения потребления памяти по сравнению с типами Float32 и Float64.
В API mediaCapabilities.decodingInfo() реализована возможность декодирования конфигурации воспроизводимого шифрованного контента и получения информации об используемой для шифрования системы ключей.
В API Web Crypto добавлена поддержка цифровых подписей на базе алгоритма Ed25519, который может использоваться в методах SubtleCrypto methods: sign(), verify(), generateKey(), importKey() и exportKey().
В инструментах для web-разработчиков реализованы новые предупреждения о проблемах с CSS, показываемые при некорректном использовании свойств resize и float, при использовании свойства box-sizing с элементами, игнорирующими изменение высоты и ширины, а также при применении специфичных для таблиц CSS-свойств с элементами, не связанными с таблицами.
В панели анализа сетевой активности функция блокировки (Network Blocking) теперь применяется не только к HTTP-ответам, но и к HTTP-запросам. В режиме инспектирования в боковой панели Rules добавлен показ правил "@starting-style" и реализованы всплывающие подсказки для функции var(), показывающие значения собственных CSS-свойств "@starting-style".

В версии для платформы Android предоставлена возможность загрузки языковых пакетов для перевода текста в режиме offline.
Кроме новшеств и исправления ошибок в Firefox 129 устранено 14 уязвимостей. 11 уязвимостей помечены как опасные, из которых 6 вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

[RW011]

Релиз Firefox 131

https://www.mozilla.org/en-US/firefo.../releasenotes/

Состоялся релиз web-браузера Firefox 131 и сформированы обновления прошлых веток с длительным сроком поддержки - 115.16.0 и 128.3.0. На стадию бета-тестирования переведена ветка Firefox 132, релиз которой намечен на 29 октября.

Основные новшества в Firefox 131:

1:

Реализована возможность предоставления сайтам временных полномочий (например, доступ к местоположению), которые прекращают действие после закрытия вкладки или истечения часа после данного пользователем разрешения.

Включён по умолчанию показ миниатюр страниц при наведении курсора на кнопки вкладок. Предполагается, что миниатюры позволят быстрее находить нужные страницы, не тратя время на перебор вкладок с одинаковыми заголовками.

Включена по умолчанию поддержка механизма Text Fragments, позволяющего формировать внешние ссылки для перехода на произвольные позиции в тексте на странице без добавления на страницу меток <a name> и без привязки к идентификаторам элементов. Определение позиции осуществляется при помощи встроенной в ссылку текстовой маски. Например, при переходе по ссылке "https://opennet.me/61967#:~:text=Text%20Fragments" браузер прокрутит страницу на позицию с фразой "Text Fragments" и выделит её цветом. Кроме задания простой маски поддерживается возможность определения масок начала и конца подсвечиваемого текста, а также привязки к предшествующим и последующим маскам, используемым для выделения нужного фрагмента при наличии нескольких совпадений на странице.

Обеспечено открытие главной страницы сайта поисковой системы при нажатии shift-enter или shift-click в пустой строке поиска, опционально добавляемой в панель рядом с адресной строкой.

Изменена пиктограмма меню со списком всех открытых вкладок, показываемого в верхнем правом углу (вместо знака "V" теперь используется изображения вкладки).

Во встроенной системе перевода при выборе языка по умолчанию теперь используется язык, который пользователь ранее выбирал для перевода.
Добавлена поддержка технологии CHIPS (Cookies Having Independent Partitioned State), созданной Google в рамках инициативы Privacy Sandbox и позволяющей изолировать Cookie в привязке к домену первого уровня, используя атрибут "Partitioned". Если в обычных условиях сторонний код с сайта "C", встроенный на сайты "A" и "В", может обрабатывать общие для данных сайтов Cookie, то при указании атрибута "Partitioned", выставленные сайтом "C" Cookie, при загрузке кода с сайтов "A" и "В", будут полностью разделены.

Значение SameSite=None для Cookie теперь может выставляться только в режиме Secure, который действует для соединений через HTTPS. SameSite=None отключает ограничения отправки Cookie для вставок со сторонних сайтов.
В процессе подготовки к переходу на спецификацию SVG 2 удалены свойства SVGGraphicsElement.nearestViewportElement и SVGGraphicsElement.farthestViewportElement, которые были объявлены устаревшими в феврале.
В соответствии с рекомендацией рабочей группы, занимающейся стандартизацией СSS, CSS-свойство "inset-area" переименовано в "position-area".
В JavaScript-интерфейс Iterator добавлена поддержка синхронно выполняемых обработчиков Iterator.prototype.drop(), Iterator.prototype.every(), Iterator.prototype.filter(), Iterator.prototype.find(), Iterator.prototype.flatMap(), Iterator.prototype.forEach(), Iterator.prototype.map(), Iterator.prototype.reduce(), Iterator.prototype.some() и Iterator.prototype.take(), позволяющих использовать использовать с итераторами операции, похожие на операции с массивами, без явного создания промежуточных объектов Array, что полезно при обработке очень больших наборов данных.
В версии для Android при сохранении закладки теперь по умолчанию выбирается раздел, в который была добавлена прошлая закладка, а не корневой раздел закладок. В настройки добавлена опция для включения защиты от скрытой идентификации пользователя (fingerprint), не связанной с известными трекерами. Опция доступна при выборе настраиваемого или расширенного режима защиты от отслеживания.

Кроме новшеств и исправления ошибок в Firefox 131 устранены 24 уязвимости. 18 уязвимостей помечены как опасные, из которых 14 вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

[RW011]

Обновления Firefox 131.0.2 с устранением критической уязвимости
https://www.mozilla.org/en-US/firefo.../releasenotes/
Опубликованы корректирующий выпуски Firefox 131.0.2, Firefox ESR 115.16.1, Firefox ESR 128.3.1 , в которых устранена критическая уязвимость (CVE-2024-9680), приводящая к выполнению кода на уровне процесса обработки контента при открытии специально оформленных страниц.

1:

Уязвимость вызвана обращением к уже освобождённой памяти (use-after-free) в реализации API AnimationTimeline, применяемого для синхронизации и точного управления анимированными эффектами на web-страницах. Опасность уязвимости усугубляется тем, что ещё до появления исправления компанией ESET выявлены факты её использования в эксплоитах для совершения атак (0-day). Детальная информация о сути уязвимости пока не раскрывается.

Дополнительно можно отметить о выявлении в выпуске Firefox 131 проблем (1, 2, 3), приводящих к нарушению отображения элементов интерфейса при запуске браузера в окружениях на базе X11/Xorg без композитного менеджера. Проблемы проявляются в Xfce при выключенном композитном режиме в настройках и в простых оконных менеджерах. Например, пропадают тени и закругления всплывающих меню, отображается чёрный фон вместо прозрачности на индикаторе автопрокрутки.

[RW011]

В Firefox прекращена поддержка настройки Do Not Track

В ночных сборках Firefox, на базе которых 4 февраля будет сформирован релиз Firefox 135, со страницы с настройками приватности (aboutreferences#privacy) убрана опция, позволявшая включить отправку сайтам HTTP-заголовка "Do Not Track" ("DNT"). Заголовок DNT информирует сайты о нежелании пользователя передавать на хранение сведения, которые могут использоваться для отслеживания перемещений и предпочтений.

1:

В качестве причины удаления называется игнорирование выставления заголовка DNT многими сайтами, так как его поддержка не является обязательной. Более того, в некоторых ситуациях передача заголовка DNT приводит к снижению конфиденциальности, так как он может использоваться в качестве дополнительного косвенного признака идентификации в пассивном режиме, наряду с такими признаками, как разрешение экрана, список поддерживаемых MIME-типов, специфичные параметры в заголовках (HTTP/2 и HTTPS), установленные плагины и шрифты, доступность некоторых Web API, специфичные для видеокарт особенности отрисовки при помощи WebGL и Canvas, возможности CSS, особенности работы с мышью и клавиатурой.

Вместо DNT рекомендуется использовать остающуюся в настройках опцию для включения механизма GPC (Global Privacy Control), пришедшего на смену заголовку DNT и позволяющего информировать сайты о запрете продажи персональных данных и их использования для отслеживания поведения или перемещения пользователя между сайтами. Ключевым отличием GPC от DNT является обязательность его исполнения с точки зрения действующего закона CCPA (California Consumer Privacy Act), регулирующего обращение с персональными данными в штате Калифорния.

Если реализация поддержки заголовка DNT выполняется на добровольной основе, то выставление признака GPC трактуется как официальное несогласие пользователя с передачей своих персональных данных. В 2022 году компания Sephora, продающая накопленные при посещении сайтов данные о пользователях, из-за игнорирования признака GPC была признана судом виновной в нарушении закона CCPA и выплатила компенсацию, размером 1.2 млн долларов.


Дополнительно сообщается об изменениях в руководящем составе Mozilla:

На должность старшего вице-президента по Firefox (Senior Vice President of Firefox) назначен Anthony Enzor-DeMeo, перешедший в Mozilla с должности директора по продуктам в компании Roofstock. В обязанности Anthony Enzor-DeMeo входит курирование организации разработки Firefox и развития бизнеса, связанного с Firefox.
На должность вице-президента по продукту Firefox (Vice President of Firefox Product) назначен Ajit Varma, до этого отвечавший в компании Meta за монетизацию мессенджера WhatsApp. Ajit будет отвечать в Mozilla за стратегию развития Firefox.
На должность старшего вице-президента по инфраструктуре (Senior Vice President of Infrastructure) назначен Girish Rao, ранее возглавлявший инженерную команду стриминговой системы Max в компании Warner Bros Discovery. Girish будет отвечать в Mozilla за сервисы, безопасность и проекты, связанные с машинным обучением.

[RW011]

Релиз Firefox 138

Состоялся релиз web-браузера Firefox 138 и сформированы обновления прошлых веток с длительным сроком поддержки - 115.23.0 и 128.10.0. На стадию бета-тестирования переведена ветка Firefox 139, релиз которой намечен на 27 мая.

Основные новшества в Firefox 138:

1:

Предложена новая система управления профилями. В форме профилей пользователь может создавать полностью независимые сеансы работы с браузером, со своими настройками, историей, закладками, дополнениями и внутренними БД. Каждый профиль хранится в отдельном подкаталоге "~/.mozilla/firefox/". Профилю можно назначить свою цветовую схему, значок и имя. Переключение между профилями и создание новых профилей осуществляется через новую секцию, показываемую в верхней части основного меню.

Новый интерфейс работы с профилями пока по умолчанию включён не для всех и постепенно будет активироваться для всё большего процента пользователей. Для принудительного включения на странице about:config можно активировать параметр "browser.profiles.enabled". Технология разделения сеансов аналогична старым профилями, активация которых производилось из командной строки при помощи опции "-P", но интерфейсы и списки профилей старой и новой системы не пересекаются (в старом интерфейсе, запускаемом командой "firefox --ProfileManager" не показываются новые профили, а в новом, доступном через меню, не показываются старые).

Старый интерфейс:


Новый интерфейс:


В адресной строке реализован вывод контекстных рекомендаций с прогнозом погоды, при вводе слов, имеющих отношение к погоде или названиям городов. Возможность пока доступна по умолчанию только для пользователей из США. Включение производится через настройку "browser.urlbar.suggest.weather" на странице about:config.

В контекстное меню, показываемое при клике правой кнопкой мыши на кнопках вкладок, добавлен пункт для копирования ссылки страницы, показанной во вкладке.
При запуске в Windows 11 всплывающие окна и контекстные меню теперь выводятся в "акриловом" стиле, соответствующем эстетике операционной системы.
Улучшено автозаполнение полей с адресами и номерами кредитных карт. Автозаполнение теперь корректно применяется к формам, динамически обновляемым по мере заполнения информации (заполнение сработает в полях, появляющихся только после ввода других полей, например, когда поле для адреса появляется после заполнения поля с городом).
В конфигураторе появилась возможность переопределения контрастных цветов. Вместо цветов, применяемых на сайтах для фона и переднего плана, теперь можно задать собственные цвета или использовать системные настройки контраста для web-контента.

Добавлена поддержка проверки целостности импортируемых JavaScript-модулей по хэшу, используя новое поле "integrity" в метаданных для <script type="importmap">.
Добавлен метод Error.isError, позволяющий проверить является ли указанное значение экземпляром объекта Error.
Для совместимости с другими браузерами добавлена поддержка функции Error.captureStackTrace.
Унифицированы размер и стиль шрифта в элементах <H1>, которые теперь не зависят от использования <H1> внутри блоков <article>, <aside>, <nav> и <section>.
В выражении "import" добавлена возможность указания атрибутов, через которые можно выставить дополнительные метаданные при импорте модулей. При помощи атрибута 'type: "json"' теперь можно импортировать модули JSON.

import data from "https://example.com/data.json" with { type: "json" };
Для WebRTC-приложений предложено свойство degradationPreference, через которое можно выставить приоритет сохранения частоты кадров или разрешения в ситуации, когда снижение пропускной способности сети не позволяет обеспечить все заданные параметры.
В возвращаемый сервером HTTP-заголовок "Clear-Site-Data" добавлена поддержка директивы "cache", через которую сервер может информировать клиента о необходимости очистки из браузерного кэша данных, связанных с обрабатываемым URL. Например, очистка может инициироваться при завершении пользователем сеанса на сайте для снижения рисков нарушения конфиденциальности.
В инструментах для web-разработчиков в панели Network реализован новый столбец "Path", в котором показывается полный путь запрошенного ресурса.

В версии для платформы Android:
На планшетах по умолчанию включён десктоп-режим, который может быть отключён в настройках.
Добавлена поддержка сортировки закладок и прикрепления папок в верхнюю часть экрана со списком закладок.
Реализована поддержка TLS-сертификатов для аутентификации клиентов на сервере.
Предоставлена возможность использования кнопки Share для отправки другим пользователям загруженного файла или ссылки, по которой он был получен.
Добавлена поддержка сортировки загруженных файлов по времени и категориям.
Кроме новшеств и исправления ошибок в Firefox 138 устранено 14 уязвимостей. 6 уязвимостей вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц. Также можно отметить уязвимость в функции "copy as cURL" в инструментах для web-разработчиков, позволяющую подставить свои команды из-за отсутствия должного экранирования спецсимволов.