CVE-2025-8038

Mozilla Thunderbird/Firefox: pominięcie weryfikacji ścieżek nawigacji w ramce

CVSS 9.8v3.1pub. 2025-07-22upd. 2026-04-13

Podatność w Mozilla Thunderbird i Firefox powodowała, że aplikacja ignorowała ścieżki URL podczas sprawdzania poprawności nawigacji w ramce (frame). Błąd otrzymał ocenę CVSS 9.8, co klasyfikuje go jako krytyczny.

▸ Pokaż oryginał (EN)

Thunderbird ignored paths when checking the validity of navigations in a frame. This vulnerability was fixed in Firefox 141, Firefox ESR 140.1, Thunderbird 141, and Thunderbird 140.1.

🤖 Analiza AI

Jak działa

Mechanizm walidacji nawigacji w ramce nie uwzględniał komponentu ścieżki URL podczas weryfikacji, czy dana nawigacja jest dozwolona (CWE-345: brak weryfikacji autentyczności/integralności danych). Oznacza to, że kontrole bezpieczeństwa mogły zostać ominięte przez odpowiednio spreparowaną ścieżkę żądania, prowadząc do nieautoryzowanych przejść wewnątrz osadzonej ramki. Podatność jest dostępna zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, co czyni ją łatwą do wykorzystania w praktyce.

Skutki

Atakujący może ominąć mechanizmy kontroli nawigacji w ramkach, potencjalnie uzyskując nieautoryzowany dostęp do zasobów, modyfikując zawartość lub naruszając poufność, integralność i dostępność danych przetwarzanych przez aplikację.

Mitygacja

Należy zaktualizować do Firefox 141 lub Firefox ESR 140.1 oraz Thunderbird 141 lub Thunderbird 140.1. Patche dostępne są za pośrednictwem mechanizmu automatycznych aktualizacji Mozilla oraz na oficjalnych stronach produktów wskazanych w referencjach.

Kogo dotyczy

Mozilla Firefox w wersjach przed 141 oraz Firefox ESR w wersjach przed 140.1; Mozilla Thunderbird w wersjach przed 141 oraz Thunderbird w wersjach przed 140.1.