CVE-2026-16387

Błąd izolacji stron w komponencie Networking — Firefox i Thunderbird

CVSS 9.8pub. 2026-07-21upd. 2026-07-24

Podatność klasy site isolation w komponencie Networking przeglądarki Firefox oraz klienta Thunderbird umożliwia nieuwierzytelnionemu atakującemu zdalne naruszenie granic izolacji między stronami. Wysoki wynik CVSS 9.8 wskazuje na krytyczne zagrożenie dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

Site isolation issue in the Networking component. This vulnerability was fixed in Firefox 153, Firefox ESR 140.13, Thunderbird 153, and Thunderbird 140.13.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej izolacji kontekstów sieciowych (CWE-346 — naruszenie Origin Validation, CWE-284 — niewłaściwa kontrola dostępu, CWE-200 — ujawnienie informacji). Błąd w komponencie Networking pozwala na przełamanie mechanizmu oddzielającego zasoby sieciowe różnych stron od siebie. Atakujący może zainicjować atak bez uwierzytelnienia, bez interakcji użytkownika i zdalnie przez sieć, co odpowiada wektorowi CVSS AV:N/AC:L/PR:N/UI:N.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych zasobów innych stron internetowych, manipulować danymi lub powodować zakłócenia działania aplikacji — potencjalnie obejmuje to kradzież sesji, danych uwierzytelniających lub innych wrażliwych informacji przetwarzanych w przeglądarce lub kliencie pocztowym.

Mitygacja

Należy niezwłocznie zaktualizować do Firefox 153 lub Firefox ESR 140.13, a w przypadku Thunderbird — do wersji 153 lub Thunderbird ESR 140.13. Szczegółowe informacje dostępne w poradnikach bezpieczeństwa Mozilla: mfsa2026-68, mfsa2026-70, mfsa2026-71, mfsa2026-72.

Kogo dotyczy

Mozilla Firefox w wersjach wcześniejszych niż 153, Mozilla Firefox ESR w wersjach wcześniejszych niż 140.13, Mozilla Thunderbird w wersjach wcześniejszych niż 153 oraz Mozilla Thunderbird ESR w wersjach wcześniejszych niż 140.13.