CVE-2025-13024

Błędna kompilacja JIT w silniku JavaScript Mozilla Firefox i Thunderbird

CVSS 9.8v3.1pub. 2025-11-11upd. 2026-04-13

Podatność w komponencie JIT (Just-In-Time compilation) silnika JavaScript produktów Mozilla Firefox i Thunderbird powoduje błędną kompilację kodu, co może prowadzić do krytycznych konsekwencji bezpieczeństwa. Ocena CVSS 9.8 wskazuje na możliwość zdalnego wykonania kodu bez jakiegokolwiek uwierzytelnienia lub interakcji użytkownika.

▸ Pokaż oryginał (EN)

JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 145 and Thunderbird 145.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej kompilacji kodu JavaScript przez komponent JIT (Just-In-Time) silnika JavaScript. Kompilator JIT przekształca kod JavaScript w natywne instrukcje procesora w celu przyspieszenia działania — wadliwa kompilacja może prowadzić do nieprzewidywalnego zachowania pamięci lub wykonania niezamierzonego kodu maszynowego. Sklasyfikowana jako CWE-733 (Improper JIT Compilation), podatność może być wywołana przez specjalnie spreparowany kod JavaScript dostarczony np. za pośrednictwem złośliwej strony internetowej.

Skutki

Atakujący może doprowadzić do naruszenia poufności, integralności oraz dostępności systemu, potencjalnie uzyskując możliwość zdalnego wykonania dowolnego kodu (RCE) w kontekście przeglądarki lub klienta pocztowego ofiary.

Mitygacja

Należy zaktualizować Mozilla Firefox do wersji 145 lub nowszej oraz Mozilla Thunderbird do wersji 145 lub nowszej. Poprawka jest dostępna w oficjalnych kanałach dystrybucji Mozilla.

Kogo dotyczy

Mozilla Firefox w wersjach przed 145 oraz Mozilla Thunderbird w wersjach przed 145.

Uwagi

Podatność została naprawiona jednocześnie w Firefox 145 i Thunderbird 145, co wskazuje na wspólną bazę kodu silnika JavaScript w obu produktach Mozilla.