Veille sécuritéFrontend
P3Élevée
Firefox pour iOS interpolait directement l’attribut HTML de langue d’une page dans le JavaScript de traduction, permettant à un contenu contrôlé par un attaquant d’exécuter du code dans un contexte privilégié et de contourner la politique CSP de la page. La correction indiquée est Firefox pour iOS 157.1 ; l’avis Mozilla consulté situe cette publication corrective au 2026-10-05, hors de la période, mais la fiche NVD fournie a été publiée pendant la période.
JavaScript
IdentifiantCVE-2026-103418
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifFirefox for iOS 157.1
Source : NVD — CVE-2026-103418
Analyse technique
Injection dans le JavaScript de traduction à partir de l’attribut HTML lang ; exécution dans le content world privilégié et contournement de la CSP du site.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-13 à 08:16:59.560Z, soit le 2026-10-13 à 10:16:59.560+02:00, dans la période. L’avis Mozilla consulté indique toutefois une correction publiée le 2026-10-05 ; l’item est retenu pour la publication NVD datée dans la fenêtre.
ImpactExécution de code dans le contexte privilégié de Firefox et contournement de la CSP de la page.
Version corrigéeFirefox for iOS 157.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,15% · percentile 4,1%
Publication2026-10-13T08:16:59.560Z
Mise à jour2026-10-14T04:18:08.707Z
Action recommandée
Mettre à jour Firefox pour iOS vers la version 157.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).