CVE-2026-16358

Naruszenie izolacji stron w komponencie Graphics: WebRender (Firefox/Thunderbird)

CVSS 9.8pub. 2026-07-21upd. 2026-07-24

Krytyczna podatność w komponencie Graphics: WebRender przeglądarki Firefox oraz klienta pocztowego Thunderbird narusza mechanizm izolacji stron (site isolation). Umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie ataku bez jakiejkolwiek interakcji użytkownika, zagrażając poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

Site isolation issue in the Graphics: WebRender component. This vulnerability was fixed in Firefox 153, Firefox ESR 115.38, Firefox ESR 140.13, Thunderbird 153, and Thunderbird 140.13.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-346 (Origin Validation Error) polega na błędnym weryfikowaniu pochodzenia zasobów lub żądań w komponencie WebRender odpowiedzialnym za renderowanie grafiki. Naruszenie izolacji stron (site isolation) oznacza, że złośliwa strona internetowa może potencjalnie uzyskać dostęp do danych lub zasobów należących do innych stron, które powinny być od niej odizolowane. Atakujący może wykorzystać tę lukę zdalnie, bez konieczności uwierzytelnienia i bez żadnej interakcji ze strony ofiary.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych użytkownika z innych domen, a także wpływać na integralność i dostępność przetwarzanych zasobów — co w przypadku krytycznego poziomu CVSS 9.8 wskazuje na możliwość daleko idącego przejęcia kontroli nad danymi przeglądarki lub klienta pocztowego.

Mitygacja

Należy zaktualizować oprogramowanie do wersji Firefox 153, Firefox ESR 115.38, Firefox ESR 140.13, Thunderbird 153 lub Thunderbird 140.13, w których podatność została naprawiona. Aktualizacje dostępne są za pośrednictwem wbudowanego mechanizmu aktualizacji produktów Mozilla oraz na stronach producenta wskazanych w referencjach.

Kogo dotyczy

Mozilla Firefox w wersjach przed 153, Firefox ESR w wersjach przed 115.38 i przed 140.13, Mozilla Thunderbird w wersjach przed 153 i przed 140.13.

Uwagi

Podatność została zgłoszona i naprawiona przez Mozilla Foundation. Szczegóły techniczne dostępne są w zgłoszeniu Bugzilla o numerze 2040119 oraz w biuletynach bezpieczeństwa MFSA2026-68, MFSA2026-69, MFSA2026-70 i MFSA2026-71.