CVE-2026-16375

Błąd izolacji stron w komponencie HTTP przeglądarki Firefox i Thunderbird

CVSS 9.8pub. 2026-07-21upd. 2026-07-24

Podatność klasy site isolation w komponencie Networking: HTTP produktów Mozilla Firefox i Thunderbird pozwala zdalnym atakującym na naruszenie granic izolacji między stronami. Wysoki wynik CVSS 9.8 oraz brak wymagań co do uprawnień i interakcji użytkownika czynią ją szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Site isolation issue in the Networking: HTTP component. This vulnerability was fixed in Firefox 153, Firefox ESR 140.13, Thunderbird 153, and Thunderbird 140.13.

🤖 Analiza AI

Jak działa

Błąd (CWE-346 — Origin Validation Error) polega na nieprawidłowej walidacji pochodzenia (origin) żądań HTTP w warstwie sieciowej przeglądarki. Mechanizm izolacji stron, który ma zapobiegać dostępowi jednej witryny do zasobów innej, nie jest poprawnie egzekwowany. Atakujący może wykorzystać tę lukę zdalnie, bez uwierzytelnienia i bez wymaganej interakcji po stronie ofiary.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych innych stron (naruszenie poufności), zmodyfikować zasoby lub dane (naruszenie integralności) oraz potencjalnie doprowadzić do niedostępności usługi — wszystkie trzy filary bezpieczeństwa (C/I/A) są ocenione jako wysokie.

Mitygacja

Należy zaktualizować oprogramowanie do wersji Firefox 153, Firefox ESR 140.13, Thunderbird 153 lub Thunderbird 140.13, w których podatność została usunięta. Szczegóły dostępne w poradnikach bezpieczeństwa Mozilla (mfsa2026-68, mfsa2026-70, mfsa2026-71, mfsa2026-72).

Kogo dotyczy

Mozilla Firefox w wersjach przed 153, Mozilla Firefox ESR w wersjach przed 140.13, Mozilla Thunderbird w wersjach przed 153 oraz Mozilla Thunderbird ESR w wersjach przed 140.13.