24 лютого 2026 року вийшов Firefox 148, у якому з'явилася підтримка стандартизованого Sanitizer API. Новий метод setHTML() дозволяє розробникам безпечно очищати неперевірений HTML перед вставкою в DOM, забезпечуючи захист від XSS-атак.
Починаючи з 24 лютого 2026 року, Firefox 148 надає метод setHTML(), який інтегрує процес санітизації безпосередньо в операцію вставки елементів. Це спрощує роботу з динамічним контентом, оскільки розробникам більше не потрібно вручну очищати рядки перед використанням innerHTML. Крім того, реліз додав підтримку Trusted Types, що забезпечує додатковий рівень захисту, гарантуючи, що в DOM потрапляють лише перевірені та безпечні дані.
Рекомендації для розробників:
- Перегляньте існуючий код, де використовується
innerHTMLдля вставки даних, отриманих від користувачів. - Замініть небезпечні методи на
setHTML()для автоматичного очищення контенту. - Впровадьте політику Trusted Types для суворого контролю над тим, які дані можуть бути виконані браузером.
Sanitizer API та Trusted Types для захисту від XSS
Впровадження Sanitizer API у Firefox 148 надає розробникам сучасні інструменти для захисту вебдодатків від XSS-атак. Використання нових методів, таких як setHTML(), дозволяє автоматизувати очищення недовіреного контенту, що значно знижує ризик впровадження шкідливих скриптів через динамічний контент.
Практичний крок: Перегляньте код ваших вебдодатків та замініть небезпечні методи вставки даних на setHTML(). Зверніться до Softline за консультацією щодо впровадження політик безпеки Trusted Types та модернізації коду ваших додатків для підвищення їхньої стійкості до атак.
Використані джерела
- hacks.mozilla.org (hacks.mozilla.org)