CVE-2026-2761

Sandbox escape w komponencie Graphics: WebRender w Firefox i Thunderbird

CVSS 10.0v3.1pub. 2026-02-24upd. 2026-06-30

Podatność umożliwia ucieczkę z piaskownicy (sandbox escape) poprzez komponent Graphics: WebRender w przeglądarkach Mozilla Firefox oraz kliencie pocztowym Mozilla Thunderbird. Oceniona jako krytyczna z maksymalnym wynikiem CVSS 10.0, zagraża pełną kompromitacją systemu bez jakiejkolwiek interakcji użytkownika.

▸ Pokaż oryginał (EN)

Sandbox escape in the Graphics: WebRender component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8.

🤖 Analiza AI

Jak działa

Luka jest zlokalizowana w komponencie WebRender odpowiedzialnym za renderowanie grafiki. Jej wykorzystanie pozwala na przełamanie mechanizmu izolacji procesu (sandbox), który normalnie ogranicza zakres działania kodu wykonywanego w przeglądarce lub kliencie pocztowym. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika, a zakres oddziaływania wykracza poza izolowany komponent (Scope: Changed). Szczegóły techniczne mechanizmu podatności nie zostały upublicznione.

Skutki

Atakujący może całkowicie przejąć kontrolę nad systemem ofiary, uzyskując poufność, integralność oraz dostępność na najwyższym poziomie — co odpowiada możliwości wykonania dowolnego kodu poza środowiskiem sandbox. Skuteczne wykorzystanie podatności może prowadzić do pełnej kompromitacji systemu operacyjnego.

Mitygacja

Należy niezwłocznie zaktualizować oprogramowanie do wersji: Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 lub Thunderbird 140.8. Szczegóły dostępne w poradnikach bezpieczeństwa Mozilla: mfsa2026-13, mfsa2026-14, mfsa2026-15, mfsa2026-16.

Kogo dotyczy

Mozilla Firefox przed wersją 148, Mozilla Firefox ESR przed wersjami 115.33 i 140.8, Mozilla Thunderbird przed wersją 148 oraz Mozilla Thunderbird przed wersją 140.8.

Uwagi

Podatność sklasyfikowana jako CWE-693 (Protection Mechanism Failure), co wskazuje na obejście mechanizmu ochronnego (sandbox). Brak szczegółowego opisu technicznego w opublikowanym biuletynie może sugerować świadome opóźnienie ujawnienia szczegółów w celu umożliwienia wdrożenia patchy.