CVE-2026-16355

Błędna kompilacja JIT w silniku JavaScript Firefox i Thunderbird

CVSS 9.8pub. 2026-07-21upd. 2026-07-24

Podatność typu type confusion (CWE-843) w komponencie JIT silnika JavaScript przeglądarki Firefox oraz klienta poczty Thunderbird umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez jakiejkolwiek interakcji użytkownika. Ocena CVSS 9.8 wskazuje na krytyczne zagrożenie dla poufności, integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 153, Firefox ESR 115.38, Firefox ESR 140.13, Thunderbird 153, and Thunderbird 140.13.

🤖 Analiza AI

Jak działa

Błąd dotyczy nieprawidłowej kompilacji kodu przez mechanizm JIT (Just-In-Time) w silniku JavaScript. Podatność sklasyfikowana jako CWE-843 (type confusion) oznacza, że komponent JIT niepoprawnie interpretuje typ danych podczas kompilacji, co może prowadzić do operacji na pamięci w sposób niezgodny z zamierzonym typem obiektu. Atakujący może wykorzystać ten błąd poprzez dostarczenie spreparowanego kodu JavaScript, np. za pośrednictwem złośliwej strony internetowej lub wiadomości e-mail z osadzoną treścią.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem ofiary poprzez zdalne wykonanie dowolnego kodu (RCE) z uprawnieniami procesu przeglądarki lub klienta poczty. Zagrożone są poufność, integralność oraz dostępność systemu.

Mitygacja

Należy niezwłocznie zaktualizować oprogramowanie do wersji Firefox 153, Firefox ESR 115.38 lub Firefox ESR 140.13, Thunderbird 153 lub Thunderbird 140.13, w których błąd został naprawiony.

Kogo dotyczy

Firefox w wersjach poprzedzających 153, Firefox ESR w wersjach poprzedzających 115.38 i 140.13, Thunderbird w wersjach poprzedzających 153 i 140.13.

Uwagi

Podatność została naprawiona zgodnie z informacjami zawartymi w opisie w wersjach: Firefox 153, Firefox ESR 115.38, Firefox ESR 140.13, Thunderbird 153 oraz Thunderbird 140.13. Szczegóły techniczne dostępne w Mozilla Bugzilla pod numerem 2052207.