CVE-2026-2778

Ucieczka z sandbox w Mozilla Firefox i Thunderbird — błąd granic w DOM

CVSS 10.0v3.1pub. 2026-02-24upd. 2026-06-30

Podatność klasy sandbox escape w komponentach DOM: Core & HTML produktów Mozilla Firefox i Thunderbird pozwala zdalnym atakującym na całkowite przejęcie kontroli nad systemem ofiary. Ocena CVSS 10.0 wskazuje na maksymalne ryzyko — atak nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Sandbox escape due to incorrect boundary conditions in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej weryfikacji warunków granicznych (boundary conditions) w komponentach DOM: Core & HTML. Niepoprawna obsługa granic pamięci (CWE-119 — buffer overflow lub pokrewne naruszenie) umożliwia wyjście poza izolowane środowisko sandbox przeglądarki. Atakujący może spreparować złośliwą stronę internetową lub wiadomość e-mail (w Thunderbird), której przetworzenie przez silnik DOM wyzwoli podatność i pozwoli na wykonanie kodu poza piaskownicą.

Skutki

Skuteczne wykorzystanie podatności prowadzi do ucieczki z sandbox i potencjalnie do pełnego przejęcia systemu — atakujący może uzyskać poufność, integralność i dostępność zasobów systemowych (C:H/I:H/A:H w zakresie zmienionym, S:C).

Mitygacja

Należy niezwłocznie zaktualizować do wersji Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 lub Thunderbird 140.8, w zależności od używanego kanału aktualizacji. Szczegółowe informacje dostępne w poradnikach bezpieczeństwa Mozilla: mfsa2026-13, mfsa2026-14, mfsa2026-15, mfsa2026-16.

Kogo dotyczy

Mozilla Firefox przed wersją 148, Mozilla Firefox ESR przed wersjami 115.33 i 140.8, Mozilla Thunderbird przed wersją 148 oraz Mozilla Thunderbird przed wersją 140.8.