В Google Chrome и Firefox для Android выявлена (http://www.rafayhackingarticles.net/2016/08/google-chrome-fi...) уязвимость, позволяющая отобразить в адресной строке произвольное имя вместо фактического домена, путём манипуляций  unicode-символами языков с написанием букв справа-налево (RTL). Проблема вызвана ошибкой обработки в URL таких символов, как U+FE70, U+0622, U+0623, использование которых приводит к замене порядка слов в адресной строке.

Например, при открытии "http://127.0.0.1/%EF%B9%B0/http://google.com/... (http://127.0.0.1/%EF%B9%B0/http://google.com/...)" в адресной строке будет показано "http://google.com/test/127.0.0.1", что может быть применено для скрытия попыток фишинга. Проблема уже устранена в Firefox 48 (CVE-2016-5267 (https://security-tracker.debian.org/tracker/CVE-2016-5267), проявляется только в версии для Android) и запланирована к исправлению в сентябрьском обновлении Chrome.

URL: http://www.rafayhackingarticles.net/2016/08/google-chrome-fi...
Новость: http://www.opennet.me/opennews/art.shtml?num=44985