CVE-2026-2771

Niezdefiniowane zachowanie w komponencie DOM: Core & HTML w Mozilla Firefox i Thunderbird

CVSS 9.8v3.1pub. 2026-02-24upd. 2026-06-30

Podatność w komponencie DOM: Core & HTML przeglądarki Mozilla Firefox oraz klienta pocztowego Mozilla Thunderbird powoduje niezdefiniowane zachowanie (undefined behavior), sklasyfikowane jako odczyt poza zakresem bufora (CWE-125). Ocena CVSS 9.8 wskazuje na krytyczny poziom zagrożenia — możliwe jest zdalne wykorzystanie bez żadnego uwierzytelnienia i interakcji użytkownika.

▸ Pokaż oryginał (EN)

Undefined behavior in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8.

🤖 Analiza AI

Jak działa

Luka wynika z niezdefiniowanego zachowania w silniku przetwarzania DOM (Document Object Model) odpowiedzialnym za obsługę rdzenia i komponentów HTML. Zgodnie z klasyfikacją CWE-125 podatność może wiązać się z odczytem danych spoza przeznaczonego bufora pamięci. Wektor ataku jest sieciowy (AV:N), nie wymaga żadnych uprawnień (PR:N) ani interakcji po stronie użytkownika (UI:N), co oznacza, że samo odwiedzenie złośliwie spreparowanej strony lub otwarcie odpowiednio przygotowanej wiadomości może być wystarczające do wyzwolenia podatności.

Skutki

Atakujący może potencjalnie uzyskać poufne informacje z pamięci procesu, naruszyć integralność danych lub doprowadzić do utraty dostępności aplikacji. Pełny wpływ obejmuje wysoki poziom naruszenia poufności, integralności i dostępności (C:H/I:H/A:H).

Mitygacja

Należy niezwłocznie zaktualizować do Mozilla Firefox 148, Firefox ESR 115.33 lub Firefox ESR 140.8 oraz Mozilla Thunderbird 148 lub Thunderbird 140.8, w których podatność została wyeliminowana.

Kogo dotyczy

Mozilla Firefox w wersjach przed 148 i przed Firefox ESR 115.33 oraz Firefox ESR 140.8; Mozilla Thunderbird w wersjach przed 148 i przed Thunderbird 140.8.